OAuthEin Access-Token ausstellen
Zurück zu Sofia

OAuth

Ein Access-Token ausstellen

Tauscht client_credentials, einen authorization_code mit PKCE oder ein einmaliges refresh_token gegen ein opakes Token (3600 s) für einen Workspace.

POSThttps://api.sofia-post.com/api/v1/oauth/token

Body

application/x-www-form-urlencoded, application/json

  • grant_typestringerforderlich

    Der zu tauschende Grant: client_credentials, authorization_code oder refresh_token

    Zulässige Werte: client_credentialsauthorization_coderefresh_token

  • client_idstringerforderlich

    Kennung der Client-Anwendung

  • client_secretstring

    Secret eines vertraulichen Clients (client_secret_post) oder im Header Authorization: Basic (client_secret_basic), nie beides; keines bei einem öffentlichen Client

  • scopestring

    Angeforderte Berechtigungen, durch Leerzeichen getrennt; fehlt der Wert: alle des Grants

  • workspace_idstring

    Der Workspace, in dem das Token handelt: erforderlich, wenn die Anwendung unter client_credentials mehrere hat, optional bei einem

  • codestring

    authorization_code: der an der Weiterleitungsadresse empfangene Code

  • code_verifierstring

    authorization_code: der PKCE-Verifier (RFC 7636)

  • redirect_uristring

    authorization_code: dieselbe Weiterleitungsadresse wie bei der Autorisierung

  • refresh_tokenstring

    refresh_token: das Refresh-Token, einmalig verwendbar

Antwort

200application/json

Das Access-Token, mit einem refresh_token nur, wenn offline_access gewährt wurde.

  • access_tokenstringerforderlich

    Das opake Access-Token

  • token_typestringerforderlich

    Immer Bearer

    Zulässige Werte: Bearer

  • expires_innumbererforderlich

    Gültigkeit in Sekunden

  • scopestringerforderlich

    Die gewährten Berechtigungen, durch Leerzeichen getrennt

  • refresh_tokenstring

    Nur bei authorization_code und refresh_token, wenn offline_access gewährt wurde: einmalig verwendbar, es rotiert bei jedem Tausch

400

invalid_request, invalid_grant, unsupported_grant_type, invalid_scope oder unauthorized_client.

401

invalid_client: unbekannter Client, falsches oder fehlendes Secret oder widerrufene Anwendung.