OAuth 2.1 + PKCE

Le flow en 5 etapes

1. 1

   Enregistrez votre application

   Contactez le support EduGame avec le nom de votre application, vos redirect URIs et les scopes necessaires. Le registration self-serve est prevu pour la v1.1 ; en attendant, nous enregistrons votre client sous 48h ouvrees.

2. 2

   Generez un code_verifier et code_challenge

   Cote client, generez un code_verifier aleatoire (43 a 128 caracteres). Derivez le code_challenge via SHA256 + base64url. Le code_verifier reste sur le client, le code_challenge est envoye avec la redirection initiale.

3. 3

   Redirigez l'utilisateur vers /v1/oauth/authorize

   Construisez l'URL avec response_type=code, client_id, redirect_uri, scope, state (anti-CSRF), code_challenge et code_challenge_method=S256. L'utilisateur voit un ecran de consentement liste les scopes demandes.

4. 4

   Echangez le code contre un token

   Apres consentement, l'utilisateur est redirige vers votre redirect_uri avec un parametre code. Echangez-le cote serveur via POST /v1/oauth/token en envoyant grant_type=authorization_code, code, client_id, redirect_uri et code_verifier.

5. 5

   Utilisez access_token et gerez le refresh

   L'access_token (validite 1h) s'utilise dans l'en-tete Authorization: Bearer. Le refresh_token (validite 30j) permet d'obtenir un nouvel access_token via grant_type=refresh_token. La rotation est automatique : chaque refresh invalide l'ancien token.

Endpoints OAuth

URL d'autorisation

https://api.edugame.cc/v1/oauth/authorize
  ?response_type=code
  &client_id=egc_your_client_id
  &redirect_uri=https://your-app.com/oauth/callback
  &scope=read:exams write:exams read:analytics
  &state=anti_csrf_random_value
  &code_challenge=CHALLENGE_FROM_VERIFIER
  &code_challenge_method=S256

Echange du code

curl -X POST https://api.edugame.cc/v1/oauth/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=authorization_code" \
  -d "code=RECEIVED_FROM_CALLBACK" \
  -d "redirect_uri=https://your-app.com/oauth/callback" \
  -d "client_id=egc_your_client_id" \
  -d "code_verifier=YOUR_ORIGINAL_VERIFIER"

# Response
{
  "access_token": "egat_...",
  "refresh_token": "egrt_...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "scope": "read:exams write:exams read:analytics"
}

Presets de scopes