> ## Documentation Index
> Fetch the complete documentation index at: https://docs.creditbenchmark.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Authentification machine à machine

> Présentation de l’accès machine-à-machine (M2M) à l’API Credit Benchmark à l’aide de paires de clés ES256 et de l’authentification client JWT par clé privée OAuth 2.0.

L’API Credit Benchmark utilise l’authentification machine-à-machine (M2M). Nous enregistrons des machines, pas des personnes. Une machine peut être un serveur situé dans votre centre de données ou dans le cloud, ou encore l’ordinateur portable d’un utilisateur. Chacune d’entre elles dispose de sa propre identité chez nous, et personne n’a besoin de saisir un nom d’utilisateur ou un mot de passe pour qu’elle se connecte.

Cette identité correspond à une paire de clés numériques que vous générez sur votre machine :

* La **clé privée** demeure sur la machine et atteste qu’elle est bien à l’origine des requêtes.
* La **clé publique** est la partie correspondante. Vous nous l’envoyez, nous l’enregistrons, puis nous l’utilisons pour vérifier que chaque requête provient bien de votre machine.

La clé privée n’étant jamais partagée, il n’y a ni mot de passe ni secret partagé à perdre.

> [!NOTE]
>
> La norme sous-jacente est OAuth 2.0 avec authentification client JWT par clé privée ([RFC 7523](https://datatracker.ietf.org/doc/html/rfc7523)). Votre machine signe une requête à durée de vie limitée à l’aide de sa clé privée ; nous vérifions la signature par rapport à la clé publique que vous avez enregistrée, puis nous émettons un jeton d’accès. Les clés utilisent l’algorithme ES256 sur la courbe elliptique P-256.

## Intégration en bref

**1. Générer une paire de clés**

Créez une paire de clés ES256 sur la machine qui appellera l’API. Consultez [Configuration de la paire de clés](/api-reference/authentication/key-pair-setup).

**2. Envoyez-nous la clé publique**

Envoyez uniquement `es256-public.pem`, accompagnée de l’empreinte digitale et de vos informations d’intégration, à votre interlocuteur Credit Benchmark.

**3. Recevez votre kit d’intégration**

Nous enregistrons la clé et vous envoyons un dossier d’intégration contenant les informations relatives à votre client ainsi que des exemples de scripts exécutables.

**4. Demander des jetons d’accès**

Votre machine signe une assertion client à durée de vie limitée avec sa clé privée et l’envoie au point de terminaison des jetons. Nous vérifions la signature à l’aide de la clé publique enregistrée sous votre `KID` et renvoyons un jeton d’accès. Voir [Demander un jeton d’accès](/api-reference/authentication/request-token).

## Ce que vous recevez en retour

Une fois votre clé publique enregistrée, nous vous envoyons un dossier d’intégration. Il contient trois informations qui permettent de transformer votre clé en identifiant fonctionnel, ainsi que des exemples de scripts en Python et Node.js. Aucune de ces informations n’est confidentielle, mais conservez-les avec votre configuration d’intégration.

| Détails | Qu’est-ce que c’est ? | Où l’utiliser |
| - | - | - |
| `OAuthClientId` | Votre identifiant client, un GUID aléatoire qui désigne votre organisation dans notre système | Le `iss` et `sub` réclamations de votre requête signée, ainsi que le `OAuthClientId` champ du formulaire |
| `KID` | L’identifiant de la clé publique que vous nous avez envoyée, afin que nous sachions quelle clé vérifier | L’ `kid` en-tête de votre requête signée |
| Point de terminaison des jetons | L’adresse Web qui délivre les jetons d’accès | Où envoyer la demande de jeton |

> [!TIP]
>
> Le point de terminaison des jetons est `https://gateway.creditbenchmark.com/api/security/token` et la valeur « audience » est `cb-gateway-m2m-blue`. Votre dossier d’intégration contient ces deux éléments.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.