Authentification et accès
Les appels métier combinent un certificat client mTLS, un jeton OAuth2 et la clé d’API du business. Le participant fournit vos paramètres d’accès et les scopes autorisés.
Certificat et jeton
Le guide BCEAO prévoit un certificat client délivré par PI-CERT. Le flux OAuth2 Client Credentials fournit le jeton utilisé dans l’en-tête Authorization: Bearer ….
Le jeton est lié au certificat client : le claim cnf.x5t#S256 porte l’empreinte SHA-256 du certificat, encodée en base64url. Le certificat présenté pour appeler l’API doit correspondre à cette empreinte. Lors d’un renouvellement de certificat, obtenez un nouveau jeton.
L’adresse de jeton figurant dans le contrat est une adresse d’exemple. Utilisez celle communiquée par votre participant et sa procédure d’obtention du jeton lié au certificat.
Clé d’API et scopes
PI Connect exige également l’en-tête x-api-key, avec une clé active appartenant au client identifié par le jeton. Les scopes nécessaires sont indiqués opération par opération dans la référence API.
| Action | Exemple de scope |
|---|---|
| Consulter les comptes | compte.read |
| Créer un alias | alias.write |
| Envoyer un paiement | paiement.write |
| Configurer un webhook | webhook.write |
Essayer depuis le navigateur
Scalar présente les requêtes et permet de préparer des appels. Pour les exécuter depuis le navigateur :
- Utilisez la sandbox Baobab préconfigurée :
https://sandbox-api-pi.baobab.com/piz/v1. - Configurez le certificat client dans le navigateur ou son magasin de certificats : Scalar ne remplace pas la négociation mTLS du navigateur.
- Utilisez un jeton lié à ce certificat et ajoutez la clé d’API dans les en-têtes de la requête.
- Vérifiez que la cible autorise l’origine du portail par CORS.
Si ces conditions ne sont pas réunies, utilisez votre client HTTP avec le certificat configuré, par exemple la commande du démarrage rapide. L’obtention du jeton peut être effectuée séparément selon la procédure du participant.
Le portail n’enregistre pas les accès avec l’option de persistance de Scalar et ne configure aucun proxy tiers pour les appels.