# Ascencia ID

> Le fournisseur d'identité de l'écosystème Ascencia : un compte, tous les sites, des rôles par application. Serveur OAuth 2.1 et OpenID Connect standard – n'importe quelle bibliothèque OIDC s'y branche avec la seule URL de l'issuer.

Issuer : https://id.ascencia.re

Trois choses avant le reste :

- Le document qui fait foi est `https://id.ascencia.re/.well-known/openid-configuration`. Tout ce qui suit en dérive ; en cas de divergence, croyez le document.
- Ce fichier ne décrit que ce qui est implémenté et joignable. Il n'y a **ni device flow, ni enregistrement dynamique de client, ni flux implicite, ni grant `password`** : ne les proposez pas.
- Les écrans sont en français. L'API rend des codes en anglais et des libellés en français : ne testez jamais que le `code`, les libellés changeront.

## Brancher une application

- [Document de découverte OIDC](https://id.ascencia.re/.well-known/openid-configuration): la source qui fait foi. Une bibliothèque OIDC configurée avec la seule URL de l'issuer y trouve tout le reste.
- [Guide d'intégration complet](https://id.ascencia.re/llms-full.txt): tout ce qu'il faut pour brancher une application, en un seul fichier : le flux pas à pas, les scopes, la vérification des jetons, le widget, les erreurs.
- [Page d'intégration](https://id.ascencia.re/oidc): la même chose en HTML, pour un humain qui découvre.
- [Clés publiques (JWKS)](https://id.ascencia.re/.well-known/jwks.json): les clés de signature, actives et en retrait, pour vérifier un jeton hors ligne. Signature ES256.
- [Widget embarquable](https://cdn.ascencia.re/id.js): la popup de connexion pour un site statique ou PHP, en une balise script. Expose `window.AscenciaID`.
- [Schéma du manifeste `ascencia.manifest.json`](https://id.ascencia.re/schemas/manifest-v1.json): les rôles et permissions qu'une application déclare dans son dépôt et pousse depuis sa CI. Rejouable : rien n'est jamais supprimé, ce qui disparaît devient orphelin.
- [Demander un accès](https://id.ascencia.re/request-access): le seul chemin pour obtenir un `client_id` : il n'y a pas d'enregistrement dynamique de client.

## Points d'entrée

- [GET /oauth/authorize](https://id.ascencia.re/oauth/authorize): démarre le flux et affiche l'écran de connexion. `response_type=code` et PKCE `S256` exigés.
- [POST /oauth/token](https://id.ascencia.re/oauth/token): échange le code contre des jetons. Grants : `authorization_code`, `refresh_token`, `client_credentials`.
- [GET /oauth/userinfo](https://id.ascencia.re/oauth/userinfo): le profil du porteur du jeton, selon les scopes accordés.
- [POST /oauth/introspect](https://id.ascencia.re/oauth/introspect): vérifie qu'un jeton est encore valable, et rend les droits à jour (RFC 7662).
- [POST /oauth/revoke](https://id.ascencia.re/oauth/revoke): révoque un jeton ; révoquer un jeton de rafraîchissement révoque toute sa famille (RFC 7009).
- [GET /oauth/logout](https://id.ascencia.re/oauth/logout): fin de session OIDC, avec propagation aux autres applications de la zone.
- [GET /api/v1/me/context](https://id.ascencia.re/api/v1/me/context): en une requête : qui est connecté, ses rôles et ses permissions **sur ton application**. C'est ce qu'appellent les SDK.

## Pour la personne qui a un compte

- [Se connecter](https://id.ascencia.re/login): mot de passe, lien magique, code par e-mail, clé d'accès, ou fournisseur social.
- [Centre de compte](https://id.ascencia.re/account): profil, sécurité, sessions actives, applications connectées, export et suppression des données.
- [Aide](https://id.ascencia.re/help): les questions qui reviennent, rangées par fréquence : mot de passe oublié, code non reçu, compte verrouillé.
- [Contact](https://id.ascencia.re/contact): le formulaire, quand rien de ce qui précède ne débloque.
- [Confidentialité](https://id.ascencia.re/legal/privacy): les données collectées, leur durée de conservation, les droits associés.
- [Conditions d'utilisation](https://id.ascencia.re/legal/terms): ce qui est promis, et ce qui est attendu en retour.

## Optional

- [security.txt](https://id.ascencia.re/.well-known/security.txt): où signaler une faille, et ce qui intéresse en premier (RFC 9116).
- [Console d'administration](https://id.ascencia.re/console): zones, applications, rôles, journal d'audit. Réservée aux équipes Ascencia : redirige vers la connexion.