Flux de jeton d'actualisation OAuth 2.0 pour des sessions renouvelées

Demander un jeton d'accès

Une application connectée peut utiliser le jeton d'actualisation pour obtenir un nouveau jeton accès en envoyant l'une des requêtes POST de jeton d'actualisation ci-dessous au point de terminaison de jeton Salesforce.

POST /services/oauth2/token HTTP/1.1
Host: login.salesforce.com/ 
grant_type=refresh_token&
client_id=3MVG9lKcPoNINVBIPJjdw1J9LLM82HnFVVX19KY1uA5mu0QqEWhqKpoW3svG3XHrXDiCQjK1mdgAvhCscA9GE&client_secret=1955279925675241571&
refresh_token=your token here 

Au lieu d'envoyer les identifiants client en tant que paramètres dans le corps de la requête POST du jeton d'actualisation, vous pouvez utiliser le schéma d'authentification de base HTTP. Le format de ce schéma nécessite client_id et client_secret dans l'en-tête d'autorisation de la requête POST, comme suit :

Authorization: Basic64Encode(client_id:secret)

Les client_id et les client_secret sont séparés par deux points (:). Pour plus d’informations, consultez OAuth 2.0 Authorization Framework.

POST /services/oauth2/token HTTP/1.1
Host: login.salesforce.com
Authorization:  Basic 
client_id=3MVG9lKcPoNINVBIPJjdw1J9LLM82HnFVVX19KY1uA5mu0QqEWhqKpoW3svG3XHrXDiCQjK1mdgAvhCscA9GE&
client_secret=1955279925675241571
grant_type=refresh_token&
refresh_token=your token here 

Remarque Si client_id et client_secret sont envoyés dans le corps du POST, l'en-tête d'autorisation est ignoré.

Évitez d'envoyer des requêtes simultanées contenant le même jeton d'actualisation. Si votre client envoie des requêtes identiques en même temps, certaines échouent par intermittence et la colonne Statut de l'historique des connexions affiche Échoué : La demande de jeton est déjà en cours de traitement. Au lieu d'envoyer continuellement des requêtes pour de nouveaux jetons d'accès, mettez en cache et réutilisez à la place des jetons. Si vous envoyez des requêtes simultanées avec le même jeton d'actualisation, ce qui n'est pas recommandé, développez un moyen de réessayer les requêtes en cas d'erreur.

Avec les deux formats de requête POST de jeton d'actualisation, insérez les paramètres ci-dessous.

Important Lors du développement d'intégrations OAuth, transmettez toujours des informations confidentielles dans le corps d'une requête POST ou dans un en-tête de requête. N'utilisez pas les paramètres GET dans la chaîne de requête URL pour transmettre des informations confidentielles. Les informations confidentielles comprennent, sans s'y limiter, les noms d'utilisateur, les mots de passe, les jetons OAuth, les secrets clients et toute information d'identification personnelle. Pour plus d'informations sur les meilleures pratiques de sécurité, consultez Stockage des données confidentielles dans le Secure Coding Guide.

Salesforce accorde un nouveau jeton accès

Après avoir vérifié la requête, Salesforce envoie à l'application connectée une réponse contenant un nouveau jeton d'accès.

{ 
"id":"https://login.salesforce.com/id/00Dx0000000BV7z/005x00000012Q9P",
"issued_at":"1278448384422",
"instance_url":"https://yourInstance.salesforce.com/",
"signature":"SSSbLO/gBhmmyNUvN18ODBDFYHzakxOMgqYtu+hDPsc=",
"access_token":"00Dx0000000BV7z!AR8AQP0jITN80ESEsj5EbaZTFG0RNBaT1cyWk7TrqoDjoNIWQ2ME_sTZzBjfmOE6zMHq6y8PIW4eWze9JksNEkWUl.Cju7m4",
"token_type":"Bearer",
"scope":"id api refresh_token"
}

<Oauth>
   <access_token>00Dx0000000BV7z!AR8AQP0jITN80ESEsj5EbaZTFG0RNB
       aT1cyWk7TrqoDjoNIWQ2ME_sTZzBjfmOE6zMHq6y8PIW4eWze9JksNEkWUl.Cju7m4 
   </access_token>
   <token_type>Bearer
   </token_type>
   <scope>id api refresh_token
   </scope>
   <instance_url>https://yourInstance.salesforce.com/</instance_url>
   <id>https://login.salesforce.com/id/00Dx0000000BV7z/005x00000012Q9P</id>
   <issued_at>1278448101416</issued_at>
   <signature>CMJ4l+CCaPQiKjoOEwEig9H4wqhpuLSk4J2urAe+fVg=</signature>
</Oauth>

access_token=00Dx0000000BV7z%21AR8AQP0jITN80ESEsj5EbaZTFG0RNBaT1cyWk7TrqoDjoNIWQ2
ME_sTZzBjfmOE6zMHq6y8PIW4eWze9JksNEkWUl.Cju7m4
&token_type=Bearer&scope=id%20api%20refresh_token
&instance_url=https%3A%2F%2FyourInstance.salesforce.com
&id=https://login.salesforce.com%2Fid%2F00Dx0000000BV7z%2F005x00000012Q9P
&issued_at=1278448101416
&signature=CMJ4l%2BCCaPQiKjoOEwEig9H4wqhpuLSk4J2urAe%2BfVg%3D

Si la rotation du jeton d'actualisation est activée pour l'application connectée ou l'application cliente externe, la réponse inclut un nouveau jeton d'actualisation. Voici un exemple de réponse JSON si la rotation du jeton d'actualisation est activée.

{ 
"access_token":"00Dx0000000BV7z!AR8AQP0jITN80ESEsj5EbaZTFG0RNBaT1cyWk7T...",
"refresh_token":"CjAwRHgwMDAwMDAwQlY3eiFBUjhBUVAwaklUTjgwRVNFc2o1RWJhWl...",
"signature":"SSSbLO/gBhmmyNUvN18ODBDFYHzakxOMgqYtu+hDPsc=",
"scope":"id api refresh_token",
"instance_url":"https://yourInstance.salesforce.com/",
"id":"https://login.salesforce.com/id/00Dx0000000BV7z/005x00000012Q9P"
"token_type":"Bearer",
"issued_at":"1278448384422",
}

Les paramètres ci-dessous peuvent être inclus dans le corps de la réponse.