Add OAuth2 server for partners to retrieve user tokens

[skelz0r]

Allow software vendors (like Démarches Simplifiées) to retrieve API Entreprise tokens from users with their explicit consent.

Flow:

1. User clicks "Connect API Entreprise" on partner app
2. Redirected to custom OAuth login page
3. Authenticates via ProConnect (government SSO)
4. Selects which tokens to share on consent page
5. Redirected back with authorization code
6. Partner exchanges code for access/refresh tokens
7. Partner calls /oauth/me to get selected API tokens (with JWT)

Key features:

• Custom OAuth login page with partner name
• Token selection during consent
• /oauth/me endpoint returns selected tokens with JWT
• Token revocation support
• Refresh token support

Includes dummy_app simulating a partner (DS) for testing.

https://www.loom.com/share/1c050660e244444683b2ba6f22769d54

[JeSuisUnCaillou]

C'est bizarre que je choisisse mon orga dans Proconnect l'ADEME), puis que je puisse transférer 2 jetons de 2 (autres) orgas dans admin (lyon et bordeaux).

(Et la liste des scopes de chaque jeton est moche, mais c'est pas très grave).

La cinématique est très bien, mais tout le vocabulaire de "transfert de jeton" me laisse 🤔 . Je pense que c'est trop technique, et qu'on devrait parler d' "intégration API Entreprise" et de "Autoriser DS à utiliser mon accès API Entreprise".

Idéalement, le end-user a pas besoin de savoir ce qu'est un jeton ni même que ça existe.

[skelz0r]

C'est bizarre que je choisisse mon orga dans Proconnect l'ADEME), puis que je puisse transférer 2 jetons de 2 (autres) orgas dans admin (lyon et bordeaux).

Sur API E/P on ne fait aucune disjonction actuellement : t'es demandeur tu vois toutes tes habilitations, même si t'as N organisations.

(Et la liste des scopes de chaque jeton est moche, mais c'est pas très grave).

Oui, mais on n'a pas les valeurs humanized 😅
Je vais mettre le lien vers la demande DataPass + juste mettre l'intitulé et numéro

La cinématique est très bien, mais tout le vocabulaire de "transfert de jeton" me laisse 🤔 . Je pense que c'est trop technique, et qu'on devrait parler d' "intégration API Entreprise" et de "Autoriser DS à utiliser mon accès API Entreprise".

Idéalement, le end-user a pas besoin de savoir ce qu'est un jeton ni même que ça existe.

En effet c'est clairement mieux.

J'itère.

[skelz0r]

J'ai itéré, surprise demain.