QrX Connect : connecter votre plateforme avec OAuth

QrX Connect permet à un marchand de relier son canal QrX à votre système (par exemple une application e-commerce, un WMS ou une boutique sur mesure) sans copier-coller de clé API. Le marchand se connecte sur QrX, choisit un canal et clique sur Allow, et votre serveur reçoit la clé API de ce canal. Vous appelez ensuite la même API publique QrX que n'importe quelle intégration marchand. L'application Shopify de QrX utilise QrX Connect.

Ce dont vous avez besoin de la part de QrX

Un client id pour votre intégration. Chaque intégration dispose du sien.
Votre URL de callback sur votre propre système, en HTTPS uniquement, enregistrée pour ce client. Après que le marchand a cliqué sur Allow, QrX redirige vers cette URL.

Demandez un client id via qrx.eu/api ou en contactant le support QrX.

Comment cela fonctionne

Ouvrir la connexion QrX. Envoyez le marchand vers https://portal.qr-x.app/oauth/authorize avec votre client id, votre URL de callback, une valeur state aléatoire et un challenge PKCE (S256).
Le marchand choisit un canal et clique sur Allow. QrX redirige vers votre URL de callback avec un code et le même state. Vérifiez que le state correspond.
Votre serveur échange le code. Envoyez POST https://api.qr-x.net/api/v1/oauth/token sous forme de données de formulaire avec grant_type=authorization_code, client_id, code, redirect_uri (le même callback) et code_verifier. La réponse contient la merchantChannelApiKey du canal.
Appeler l'API. Échangez cette clé contre un jeton d'accès avec POST /api/v1/auth/token, exactement comme pour une intégration directe.

Le code d'autorisation n'est utilisable qu'une seule fois. Un code invalide ou expiré renvoie HTTP 400 avec invalid_grant ; relancez alors le flux.

Ce que la connexion permet

Uniquement ce que permet une clé API marchand normale pour ce seul canal : créer des expéditions Payment on Delivery, créer des étiquettes et consulter le statut des paiements et du suivi. Elle ne permet pas de modifier la facturation ou les utilisateurs, de voir d'autres canaux ni de contourner l'approbation du compte QrX. Le paiement à la porte du consommateur reste toujours sur go.qr-x.app.

Conseils de sécurité

Conservez la clé API reçue uniquement sur votre serveur, chiffrée, et jamais dans un navigateur ou une application.
Ne placez pas de secrets dans l'URL de callback et ne transmettez pas le code à une autre origine.
Si vous soupçonnez qu'une clé a été divulguée, cessez de l'utiliser et contactez le support QrX avec le marchand.

Quand contacter notre équipe support

Contactez le support QrX à [email protected] pour demander ou modifier un client id ou une URL de callback, ou lorsque l'échange de jeton échoue de manière répétée avec un code valide.