Connexion avec Cord

Laisse tes utilisateurs connecter leur compte à ton site, sans jamais voir le reste de leurs données.

Enregistrer une application

Va sur drivecord.app/developers : nom, URL, URI de redirection exactes et origines autorisées (pour le SDK et les iframes). Un client « confidentiel » reçoit un secret, affiché une seule fois, pour les appels serveur.

Le flux

• OAuth 2.1 : PKCE S256 obligatoire, pas de flux implicite, redirect_uri comparée exactement.
• Codes à usage unique valables 60 s. Un code rejoué révoque tout ce qu'il a produit.
• Jetons d'accès d'1 h, jetons de rafraîchissement à rotation avec détection de réutilisation.
• Métadonnées : /.well-known/oauth-authorization-server.

GET /oauth/authorize?client_id=app_…&redirect_uri=…&response_type=code
    &code_challenge=…&code_challenge_method=S256
    &scope=app_folder:read app_folder:write&state=…

Permissions

• app_folder:read, app_folder:write et app_folder:delete : uniquement le dossier Apps/<ton app>, créé à l'autorisation.
• profile:basic : l'identifiant du compte.