Authentification et droits Click&Cert

Les endpoints Click&Cert utilisent HTTP Basic sur HTTPS. Les identifiants sont ceux du compte API autorisé. L’abonnement, la licence et les habilitations sur le certificat sont des contrôles complémentaires.

flowchart TD
  A["Requête HTTPS avec Basic"] --> B{"Compte authentifié ?"}
  B -->|Oui| C{"Abonnement actif ?"}
  C -->|Oui| D{"Débit autorisé ?"}
  D -->|Oui| E{"Certificat accessible et disponible ?"}
  E -->|Oui| F["Contrôle d’activation du certificat"]
  F --> G["Création du résultat"]
  B -->|Non| H["401"]
  C -->|Non| I["403"]
  D -->|Non| J["429"]
  E -->|Non| K["403 ou 422"]
  classDef default fill:#EDF4FF,stroke:#2B61B5,color:#172F55

Habilitation et licence

Un utilisateur authentifié peut être refusé s’il n’est pas rattaché à l’organisation ou autorisé sur le certificat. À l’inverse, une réponse techniquement acceptée ne remplace pas les droits commerciaux de votre contrat. Vérifiez les conditions Premium avant d’utiliser un profil ou un format avancé.

Quand fournir un TOTP ?

L’API v1 contrôle un TOTP à six chiffres pour les certificats de signature QCP-N-QSCD. Le compte doit avoir terminé l’enrôlement TOTP, puis fournir un code valide dans totp. Ce contrôle ne signifie pas qu’un TOTP identique est demandé pour tous les certificats de cachet.

Pour un certificat de personne morale, respectez le moyen d’activation et les autorisations remis lors de la délivrance. Ne réutilisez pas les règles d’un certificat de personne physique pour déduire le processus d’un cachet. Les politiques de certification définissent les conditions applicables.

Les erreurs v1 TotpRequiredException, TotpEnrollmentRequiredException et InvalidTotpException sont renvoyées en 422. Le code TOTP doit rester une chaîne afin de préserver un éventuel zéro initial.

Secrets et environnements

Stockez les identifiants dans un gestionnaire de secrets, utilisez une connexion TLS vérifiée et évitez de journaliser Authorization, mots de passe, codes TOTP et documents. Ne partagez pas un accès de production dans un exemple de code ou dans le navigateur d’un utilisateur final.

La préproduction emploie les accès et certificats de test convenus à l’activation. Un certificat de test peut provoquer un résultat « chaîne non reconnue » dans un validateur public. Ce constat ne doit pas être masqué et ne démontre pas la qualification du résultat.

Suite : Certificats et erreurs d’intégration.