API publique de Bitwarden

L'API publique de Bitwarden fournit aux organisations une suite d'outils pour gérer les membres, les collections, les groupes, les journaux d'événements et les politiques de sécurité.

L'API publique est une API RESTful avec des URL orientées ressources prévisibles, accepte les corps de requête encodés en JSON, renvoie des réponses encodées en JSON, et utilise des codes de réponse HTTP standard, l'authentification, et des verbes.

L'API publique est compatible avec la spécification OpenAPI (OAS3) et publie un fichier de définition swagger.json conforme. Explorez la spécification OpenAPI en utilisant l'interface utilisateur Swagger :

• Pour les instances hébergées sur le cloud public : https://bitwarden.com/help/api/

• Pour les instances auto-hébergées : https://votre.domaine.com/api/docs/

Pour l'hébergement dans le cloud, https://api.bitwarden.com ou https://api.bitwarden.eu.

Pour auto-hébergé, https://votre.domaine.com/api.

Pour le cloud-hébergé, https://identity.bitwarden.com/connect/jeton ou https://identity.bitwarden.eu/connect/jeton.

Pour auto-hébergé, https://votre.domaine.com/identité/connect/jeton.

L'API utilise des jetons d'accès porteurs pour s'authentifier avec des points de terminaison API protégés. Bitwarden utilise un flux de demande d'application OAuth2 Client Credentials pour accorder des jetons d'accès porteurs à partir du point de terminaison. Les demandes d'authentification prennent client_id et client_secret comme paramètres requis.

La clé API client_id et client_secret peuvent être obtenues par un propriétaire à partir du coffre de la console Admin en naviguant vers Paramètres → écran Informations de l'organisation et en descendant jusqu'à la section Clé API :

Si, en tant que propriétaire, vous souhaitez partager la clé API avec un admin ou un autre utilisateur, utilisez une méthode de communication sécurisée comme Bitwarden Send.

Pour obtenir un jeton d'accès porteur, faites une demande POST avec Content-Type: application/x-www-form-urlencoded avec votre client_id et client_secret vers le point de terminaison d'authentification. Lors de l'utilisation de l'API pour la gestion de l'organisation, vous utiliserez toujours grant_type=client_credentials et scope=api.organization. Par exemple:

Bash
curl -X POST \
  https://identity.bitwarden.com/connect/token \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'grant_type=client_credentials&scope=api.organization&client_id=<ID>&client_secret=<SECRET>'

Cette demande entraînera la réponse suivante:

Bash
{
  "access_token": "<TOKEN>",
  "expires_in": 3600,
  "token_type": "Bearer"
}

Dans cette réponse, 3600 représente la valeur d'expiration (en secondes), ce qui signifie que ce jeton est valide pendant 60 minutes après avoir été émis. Effectuer un appel API avec un jeton expiré renverra un 401 Non autorisé code de réponse.

L'API publique de Bitwarden communique avec des requêtes et des réponses application/json, avec une exception :

Le point de terminaison d'authentification attend une demande application/x-www-form-urlencoded, cependant il répondra avec application/json.

Bash
curl -X GET \
  https://api.bitwarden.com/public/collections \
  -H 'Authorization: Bearer <TOKEN>'

Où est la valeur pour la clé access_token: dans le jeton d'accès porteur obtenu.

Cette demande entraînera une réponse :

Bash
{
  "object": "list",
  "data": [
    {
      "object": "event",
      "type": 1000,
      "itemId": "string",
      "collectionId": "string",
      "groupId": "string",
      "policyId": "string",
      "memberId": "string",
      "actingUserId": "string",
      "date": "2020-11-04T15:01:21.698Z",
      "device": 0,
      "ipAddress": "xxx.xx.xxx.x"
    }
  ],
  "continuationToken": "string"
}

Bitwarden a une page de statut publique, où vous pouvez trouver des informations sur la santé du service et les incidents pour tous les services, y compris l'API publique.

L'API publique de Bitwarden utilise des codes de réponse HTTP conventionnels pour indiquer le succès ou l'échec d'une demande d'API :

Pour plus d'informations sur l'utilisation de l'API publique Bitwarden, consultez les articles suivants :

• Spécification OAS de l'API publique Bitwarden

• Journal des événements