POST /api/token/invalidate

Desconecta o utilizador invalidando o seu refresh token. O token de acesso JWT (de curta duração) não é revogável: o cliente apaga-o do seu lado.

Endpoint

POST /api/token/invalidate

Acessível sem token de acesso (um utilizador cujo JWT expirou deve poder desconectar-se).

O refresh token é lido primeiro no cookie httpOnly REFRESH_TOKEN definido no login; na sua falta, no corpo:

{
    "refresh_token": "string"
}

Campo	Tipo	Obrigatório	Descrição
refresh_token	string	Não	Refresh token a invalidar, se o cookie não for enviado

Código: 200 OK

{
    "message": "Déconnexion réussie"
}

O pedido tem êxito mesmo que o token já tenha expirado ou seja desconhecido. A desconexão fica registada no diário de auditoria.

curl -X POST https://sig.example.org/api/token/invalidate \
  -H "Content-Type: application/json" \
  --cookie "REFRESH_TOKEN=…"

await fetch('/api/token/invalidate', { method: 'POST', credentials: 'include' });
localStorage.removeItem('token');