Il n’y a pas d’URL publique. Un appel utilise l’hôte qui sert ce brouillon. Ouvrir ce panneau ne crée pas de jeton.

La session est le cookie imma_session ou un Bearer de session. Les jetons d’agent sont refusés pour écrire clients ou stock. La santé n’exige pas de session.

L’organisation vient de la session. Un identifiant envoyé par le client est ignoré.

Une session cookie qui écrit doit envoyer l’en-tête x-imma-request avec la valeur 1. Un Bearer ne l’utilise pas. GET ne l’exige pas.

GET clients exige customers.read. POST exige customers.write. POST stock exige inventory.adjust, réservé au propriétaire et à l’administration. La bibliothèque exige une session. Les capacités agent exigent un jeton agent et ne rendent que les portées.

POST /api/v1/inventory répète un comptage avec la même idempotencyKey et le même contenu. Une clé réutilisée avec un autre contenu répond 409. Créer un client n’a pas de clé d’idempotence.

La récupération accepte 3 demandes par heure pour une adresse et ne dit pas si elle existe. Les travaux d’agent s’arrêtent à 30 par heure pour ce jeton. Les autres routes montées n’ont pas de limite HTTP.

Aucune route montée n’enregistre ni ne reçoit d’avis. Les contrôles de signature existent dans le domaine serveur et ce bouton ne les ouvre pas.

Émettre un jeton de service et le révoquer exige un propriétaire ou un administrateur authentifié et reste dans cette organisation. Cet en-tête n’émet, n’affiche ni ne révoque de jeton. La rotation n’est pas implémentée.

POST /api/v1/agent/jobs est monté pour un jeton agent avec jobs.write. Le bearer d’exemple est synthétique et n’est pas une clé réelle. Ce panneau ne crée pas de jeton.

• GET /api/health · Vérifie la base. Sans session. Sans chaîne de connexion.
• GET /api/v1/health · Vérifie la base et les drapeaux éteints. Sans session.
• GET /api/v1/openapi · Document machine. Incomplet. Voir l’écart ci-dessus.
• GET /api/v1/customers · Liste les clients de l’organisation de la session.
• POST /api/v1/customers · Crée un client. Champs code et name. organizationId du corps est ignoré.
• POST /api/v1/inventory · Ajustement de comptage. Champs warehouseId, productId, countedQty, date, idempotencyKey. Les exemples plus bas sont synthétiques.
• GET /api/v1/library/search · Requête q. Bibliothèque hors ligne. Pas un texte opératoire.
• GET /api/v1/library/citation · Requête q et locale facultative. Sans citation, renvoie le code d’erreur.
• GET /api/v1/library/coverage · Comptes de couverture. Pas une validation juridique.
• GET /api/v1/agent/capabilities · Renvoie les portées du jeton agent appelant. N’en crée pas.
• GET /api/v1/agent/jobs · Met un travail local en file pour un jeton agent avec jobs.write. Le quota est 30 par heure. Un jeton de session est refusé.
• POST /api/v1/agent/jobs · Met un travail local en file pour un jeton agent avec jobs.write. Le quota est 30 par heure. Un jeton de session est refusé.

Exemple synthétique. Ce n’est pas une clé réelle.

SYNTHETIC
Authorization: Bearer imma_sess_EXAMPLE
x-imma-request: 1
{"code":"C-EXAMPLE","name":"Example","organizationId":"ignored"}
{"warehouseId":"00000000-0000-0000-0000-000000000000","productId":"00000000-0000-0000-0000-000000000000","countedQty":"1","date":"2026-11-08","idempotencyKey":"example-count-1"}