Référence

Référence API

Authentification, endpoints principaux et lien vers la spécification OpenAPI.

La spécification complète, générée depuis les schémas de validation réellement utilisés par l’API, est disponible en OpenAPI 3 : /api/docs (interface) et /api/docs/openapi.json.

Authentification

Usage	Mécanisme
Logiciel client	Aucun secret : clé de licence puis jeton de session (`/licenses/*`)
Serveur de l’éditeur	`Authorization: Bearer kl_…` + signature HMAC (`/admin/*`)
Dashboard	Cookie de session + `X-CSRF-Token` + `X-Organization-Id`

Requêtes signées

Keyline-Timestamp: <secondes unix>   (±300 s)
Keyline-Nonce: <16 à 64 caractères, usage unique>
Keyline-Signature: v1=hex(HMAC-SHA256(signing_secret, METHODE\nCHEMIN?QUERY\nTIMESTAMP\nNONCE\nSHA256_HEX(CORPS)))

Licensing public

Endpoint	Corps
`POST /licenses/activate`	`application_id, license_key, device_id, nonce?, app_version?`
`POST /licenses/validate`	`session_token` ou `license_key + device_id`
`POST /licenses/heartbeat`	`session_token`
`POST /licenses/deactivate`	`session_token` ou `license_key + device_id`

Administration (extrait)

Endpoint	Permission
`POST /admin/licenses` · `/admin/licenses/bulk`	`license:create`
`GET /admin/licenses` · `/admin/licenses/:id`	`license:read`
`PATCH /admin/licenses/:id`	`license:update`
`POST /admin/licenses/:id/revoke` · `/suspend` · `/renew` · `/reset-devices`	`license:*`
`GET/POST/PATCH /admin/applications`	`application:*`
`GET /admin/analytics` · `/admin/audit-logs`	`analytics:read` · `audit:read`

Pagination : ?page=1&per_page=25 (100 max.). Idempotence : en-tête Idempotency-Key sur les créations, conservée 24 h.