Panduan OAuth

Authorization code dengan PKCE, dan satu aturan yang membentuk sisanya: pengguna memberi izin di aplikasi Tracive, tidak pernah di layar yang Anda kendalikan.

Bentuk alurnya

· Aplikasi Anda membuka URL authorize. Sistem operasi menyerahkannya ke aplikasi Tracive lewat App Link.
· Pengguna menyetujui di sana, di aplikasi Tracive sendiri.
· Code kembali ke redirect URI terdaftar Anda.
· Anda menukarnya jadi access token dan refresh token di POST /v1/oauth/token.

Kredensial Tracive pengguna tidak pernah melewati Anda. Itulah sebabnya URL authorize ada di host yang diklaim aplikasi, bukan di host API.

Umur setiap hal

Permintaan consent	10 menit sejak dibuka.
Authorization code	5 menit, sekali pakai.
Access token	1 jam.
Refresh token	Berotasi tiap dipakai. Kedaluwarsa setelah 90 hari tidak dipakai.
Jendela grace rotasi	60 detik, untuk jawaban yang hilang di jalan.

Halaman di bagian ini

· Flow app-to-app + PKCE — bagaimana otorisasi dimulai dan kembali.
· Consent simulator — menguji tanpa memasang aplikasi.
· Token exchange & refresh — termasuk deteksi penggunaan ulang.
· partner_user_id — penautan satu-lawan-satu.
· Verifikasi signature webhook.