Guide d'intégration pas à pas

1. Enregistrer le TPP — POST /psd2/register (mTLS + Digest + Signature) → récupérer le client_id.
2. Obtenir l'autorisation du PSU — rediriger le navigateur du PSU vers GET /auth sur auth.pro.lcl.fr (host sans mTLS, distinct du host des autres appels — cf. « Particularités ») avec response_type=code, client_id, redirect_uri, scope=openid aisp, state → récupérer le code.
3. Échanger le code — POST /token (grant_type=authorization_code, mTLS) → access_token + refresh_token.
4. Appeler l'AISP — GET /psd2/aisp/accounts avec Authorization: Bearer {access_token}.
5. Rafraîchir — POST /token (grant_type=refresh_token) ; pensez à stocker le nouveau refresh_token renvoyé à chaque appel (rotation, usage unique).
6. Révoquer — POST /revoke (token, token_type_hint).

Durée de vie de la session. La session reste rafraîchissable pendant 180 jours maximum (fenêtre SCA open-banking), à condition de rafraîchir au moins une fois tous les 30 jours (idle timeout du refresh token). Au-delà de l'une de ces deux bornes — ou si la session SCA est invalidée — tous les appels AISP renvoient 401 et le TPP doit relancer un GET /auth.