Přejít na obsah
Sursa Developers

POST/oauth/token

Vydat token OAuth 2.0

oauth_token

Koncový bod OAuth 2.0 pro vydávání tokenů (RFC 6749, oddíl 3.2). grant_type: authorization_code vymění jednorázový kód za dvojici tokenů a vyžaduje code_verifier (PKCE S256); refresh_token vydá novou dvojici za obnovovací token a předchozí obnovovací token zneplatní (obměna), přičemž opětovné použití zneplatněného tokenu odvolá celý řetězec; client_credentials vydá token jménem organizace, jen pro aplikaci confidential, bez obnovovacího tokenu. Klient confidential se ověřuje hlavičkou Authorization: Basic nebo poli client_id a client_secret; veřejný klient odesílá jen client_id. Přístupový token platí 1 hodinu, obnovovací token 90 dní. Odpovědi a chyby odpovídají RFC 6749, oddíl 5, s Cache-Control: no-store. Přidáno ve verzi 1.62.0.

Autentizace

Přihlašovací údaje nejsou potřeba.

Tělo požadavku

application/x-www-form-urlencoded

Objekt: OAuthTokenRequest

  • grant_typestringpovinné

    Povolené hodnoty: authorization_coderefresh_tokenclient_credentials

  • codestring

    Autorizační kód (authorization_code).

  • redirect_uristring

    Stejné URI pro přesměrování jako v autorizačním požadavku (authorization_code).

  • code_verifierstring

    Původní hodnota PKCE, 43 až 128 znaků (authorization_code).

  • refresh_tokenstring

    Obnovovací token (refresh_token).

  • scopestring

    Rozsahy oddělené mezerami, jen zužující (refresh_token, client_credentials).

  • client_idstring

    ID aplikace, pokud tajný klíč není předán v hlavičce Authorization: Basic.

  • client_secretstring

    Tajný klíč klienta aplikace confidential, pokud není předán v hlavičce Authorization: Basic.

Odpovědi

200Tokeny byly vydány.

Hlavičky odpovědi

  • RateLimit-Policy

    Platné limity ve formátu návrhu IETF draft-ietf-httpapi-ratelimit-headers: položky oddělené čárkou "<name>";q=<quota>;w=<window in seconds>. key je četnost požadavků klíče API (kvóta je nárazová špička, okno je doba jejího úplného obnovení; pro relaci je to user, bez přihlašovacích údajů ip); minute, day a month jsou kvóty organizace na kalendářní minutu, den a měsíc v UTC.

  • RateLimit

    Kolik zbývá z každého limitu v RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Limit nejpřísnější položky v RateLimit-Policy (té, ve které zbývá nejméně požadavků).

  • X-RateLimit-Remaining

    Počet požadavků, které zbývají v rámci nejpřísnějšího limitu.

  • X-RateLimit-Reset

    Počet sekund do obnovení nejpřísnějšího limitu.

application/json

Objekt: OAuthTokenResponse

  • access_tokenstringpovinné

    Přístupový token (kbat_…) pro hlavičku Authorization: Bearer.

  • token_typestringpovinné

    Povolené hodnoty: Bearer

  • expires_inintegerpovinné

    Doba platnosti přístupového tokenu v sekundách.

  • refresh_tokenstring

    Obnovovací token (kbrt_…); u client credentials chybí.

  • scopestringpovinné

    Rozsahy tokenu oddělené mezerami.

400Chyba podle RFC 6749, oddíl 5.2.

Hlavičky odpovědi

  • RateLimit-Policy

    Platné limity ve formátu návrhu IETF draft-ietf-httpapi-ratelimit-headers: položky oddělené čárkou "<name>";q=<quota>;w=<window in seconds>. key je četnost požadavků klíče API (kvóta je nárazová špička, okno je doba jejího úplného obnovení; pro relaci je to user, bez přihlašovacích údajů ip); minute, day a month jsou kvóty organizace na kalendářní minutu, den a měsíc v UTC.

  • RateLimit

    Kolik zbývá z každého limitu v RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Limit nejpřísnější položky v RateLimit-Policy (té, ve které zbývá nejméně požadavků).

  • X-RateLimit-Remaining

    Počet požadavků, které zbývají v rámci nejpřísnějšího limitu.

  • X-RateLimit-Reset

    Počet sekund do obnovení nejpřísnějšího limitu.

application/json

Objekt: OAuthErrorResponse

401Neplatné přihlašovací údaje klienta (`invalid_client`).

Hlavičky odpovědi

  • RateLimit-Policy

    Platné limity ve formátu návrhu IETF draft-ietf-httpapi-ratelimit-headers: položky oddělené čárkou "<name>";q=<quota>;w=<window in seconds>. key je četnost požadavků klíče API (kvóta je nárazová špička, okno je doba jejího úplného obnovení; pro relaci je to user, bez přihlašovacích údajů ip); minute, day a month jsou kvóty organizace na kalendářní minutu, den a měsíc v UTC.

  • RateLimit

    Kolik zbývá z každého limitu v RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Limit nejpřísnější položky v RateLimit-Policy (té, ve které zbývá nejméně požadavků).

  • X-RateLimit-Remaining

    Počet požadavků, které zbývají v rámci nejpřísnějšího limitu.

  • X-RateLimit-Reset

    Počet sekund do obnovení nejpřísnějšího limitu.

application/json

Objekt: OAuthErrorResponse

Bezpečné opakování

S každým požadavkem POST a PATCH odešlete hlavičku Idempotency-Key (například UUID). Opakování se stejným klíčem do 24 hodin vrátí uloženou odpověď, místo aby se požadavek provedl znovu.

Limity četnosti

Odpovědi obsahují hlavičky RateLimit a RateLimit-Policy a starší X-RateLimit-Limit, X-RateLimit-Remaining a X-RateLimit-Reset. Odpověď 429 má hlavičku Retry-After v sekundách: počkejte a požadavek zopakujte.

← oauth · Reference API