Authentification

Un seul jeton JWT, plusieurs façons de le présenter.

Obtenir un jeton

POST/api/token — formulaire application/x-www-form-urlencoded avec username et password (standard OAuth2 « password »).

{ "access_token": "eyJ...", "token_type": "bearer", "user_id": "...", "username": "mon_pseudo",
  "avatar_url": null, "is_verified": false }

Contexte	Méthode
API / scripts	En-tête `Authorization: Bearer <token>`
Navigateur	Cookie `access_token` (posé automatiquement par `/api/token`)
MCP	Paramètre `auth_token` des outils — voir MCP · Se connecter

Par défaut 7 jours (10 080 minutes), configurable côté serveur. Après expiration, redemandez un jeton.

GET /logout supprime le cookie de session.

Ne mettez jamais un jeton dans une URL publique ni dans un dépôt Git.