Aller au contenu principal

POST /api/token/invalidate

Déconnecte l'utilisateur en invalidant son refresh token. Le jeton d'accès JWT (durée de vie courte) n'est pas révocable : le client le supprime de son côté.

Endpoint​

POST /api/token/invalidate

Accessible sans jeton d'accès (un utilisateur dont le JWT a expiré doit pouvoir se déconnecter).

Corps de la requête​

Le refresh token est lu en priorité dans le cookie httpOnly REFRESH_TOKEN posé à la connexion ; à défaut, dans le corps :

{
    "refresh_token": "string"
}
ChampTypeRequisDescription
refresh_tokenstringNonRefresh token à invalider, si le cookie n'est pas envoyé

Réponse​

Code : 200 OK

{
    "message": "Déconnexion réussie"
}

L'appel réussit même si le token est déjà expiré ou inconnu. La déconnexion est tracée dans le journal d'audit.

Exemple​

curl -X POST https://sig.example.org/api/token/invalidate \
  -H "Content-Type: application/json" \
  --cookie "REFRESH_TOKEN=…"
await fetch('/api/token/invalidate', { method: 'POST', credentials: 'include' });
localStorage.removeItem('token');

Voir aussi​