Créer un jeton porteur

Échange les informations d’authentification d’une Auth Key contre un jeton porteur à portée définie.

Ce point de terminaison échange votre Auth Key et votre Auth Secret contre un jeton porteur à courte durée de vie. Il reprend le flux OAuth 2.0 client_credentials, mais est géré directement par l’API Transloadit.

Les jetons sont créés côté serveur via ce point de terminaison à l’aide de votre Auth Key/Auth Secret. Si vous proposez la création de jetons via une interface utilisateur, appelez /token depuis votre backend (jamais directement depuis le navigateur).

Les Workspaces résiliés ne peuvent pas créer de nouveaux jetons porteurs. Pour les points de terminaison dont la documentation autorise explicitement les lectures après résiliation, utilisez plutôt la procédure de lecture signée avec une Auth Key existante et active. La facturation dispose de sa propre procédure de requête de facturation signée.

Les requêtes doivent utiliser application/x-www-form-urlencoded et l’authentification HTTP Basic :

Dans un shell de confiance côté serveur disposant de curl et de jq, définissez TRANSLOADIT_KEY et TRANSLOADIT_SECRET avec les valeurs de votre Auth Key et de votre Auth Secret. Gardez les deux informations d’identification et le jeton obtenu secrets ; n’exécutez jamais cette configuration dans du code de navigateur.

Cet exemple demande un accès en lecture et en écriture aux Assemblies et enregistre la valeur access_token renvoyée dans TRANSLOADIT_TOKEN pour les requêtes suivantes dans le même shell. Pour un autre point de terminaison, utilisez plutôt les portées indiquées pour celui-ci ; l’Auth Key doit déjà les accorder. Les points de terminaison authentifiés par une Auth Key ou un jeton porteur incluent la configuration de jeton appropriée dans leurs exemples de requêtes.

if ! TOKEN_RESPONSE="$(curl --fail-with-body -sS \
  --request POST \
  --url 'https://api2.transloadit.com/token' \
  --user "${TRANSLOADIT_KEY:?Set TRANSLOADIT_KEY}:${TRANSLOADIT_SECRET:?Set TRANSLOADIT_SECRET}" \
  --header 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'grant_type=client_credentials' \
  --data-urlencode 'aud=api2' \
  --data-urlencode 'scope=assemblies:read assemblies:write')"; then
  printf '%s\n' "$TOKEN_RESPONSE" >&2
  exit 1
fi
TRANSLOADIT_TOKEN="$(printf '%s' "$TOKEN_RESPONSE" |
  jq -er '.access_token | strings | select(length > 0)')" || exit 1

Ce point de terminaison utilise l’authentification HTTP Basic avec votre Auth Key et votre secret.

Type de contenu : application/x-www-form-urlencoded

Les champs suivants peuvent être envoyés au maximum une fois : aud, grant_type, scope.

Utiliser le jeton

Transmettez le jeton sous la forme Authorization: Bearer <access_token> dans vos requêtes API. Lorsqu’une requête est authentifiée avec un jeton porteur valide, API2 considère Signature Authentication comme satisfaite et ignore la validation de la signature. Signature Authentication n’est appliquée qu’aux requêtes par clé/secret. Les vérifications de portée continuent de s’appliquer. L’audience api2 par défaut est acceptée par les points de terminaison API2 standard et est valide pendant 21 600 secondes par défaut. L’audience mcp est acceptée par le serveur MCP, rejetée par les points de terminaison API2 standard, et valide pendant 604 800 secondes par défaut. Considérez la valeur expires_in de la réponse comme faisant foi.