Spécifications techniques

Référence, Scopes et Sécurité

Scopes OpenID Connect, claims JWT/UserInfo, codes d’erreur OAuth 2.1 et limites de débit.

1. Scopes et Claims exposés aux applications tierces

Orneos applique le principe de minimisation des données (RGPD) : seuls les claims correspondant aux scopes demandés et acceptés par l’utilisateur sont retournés.

Scope Claims retournés Description
openid sub, iss, aud, exp, iat, auth_time Identifiant unique stable du compte Orneos (obligatoire).
profile name, preferred_username, picture Nom d’affichage, identifiant Orneos et URL de l’avatar.
email email, email_verified Adresse e-mail @orneos.eu du compte (toujours vérifiée).

2. Codes d’erreur OAuth 2.1

Code Cause principale Action recommandée
invalid_request Paramètre manquant ou PKCE S256 absent. Vérifiez code_challenge et code_challenge_method=S256.
invalid_client Identifiants client inconnus, secret erroné ou application suspendue. Vérifiez client_id / client_secret dans la console.
invalid_grant Code expiré (> 120 s), déjà utilisé, code_verifier invalide ou refresh token révoqué. Relancez un flux d’autorisation complet.
access_denied L’utilisateur a refusé le consentement ou le plafond (10 comptes) d’une app non vérifiée est atteint. Soumettez l’application à la revue si elle est prête pour la production.
rate_limited Trop de tentatives depuis la même adresse IP ou le même client_id. Respectez un backoff exponentiel (HTTP 429).

3. Plafonds et limites de débit

  • Applications par compte : 5 applications maximum, 10 URI de redirection par application.
  • Mode non vérifié (sandbox) : limité à 10 utilisateurs distincts tant que l’application n’a pas été vérifiée.
  • Débit OAuth : 120 requêtes / 15 min sur /oauth/authorize et 60 requêtes / 15 min sur /oauth/token et /oauth/revoke par couple (IP, client).
  • Durée de vie : code d’autorisation 120 s · access_token 3600 s (1 h) · refresh_token 90 jours (rotation à chaque usage).