> ## Documentation Index > Fetch the complete documentation index at: https://docs.locusmedical.fr/llms.txt > Use this file to discover all available pages before exploring further. # Émettre un jeton de session pour un poste (auth : clé lsk_) > Échange votre clé `lsk_` contre un jeton court, lié à UN compte de votre parc. C'est ce jeton — et lui seul — que votre widget porte. **La clé ne descend jamais dans un navigateur.** Elle vaut pour tout votre parc ; un widget est du JavaScript lisible. Cette route est donc refusée à un jeton de session (`403 AUTH_KEY_REQUIRED`) : sans quoi un poste s'en émettrait un au nom du voisin. Le renouvellement est le même appel : redemandez-en un avant `exp`. `client` permet à une clé `platform` d'en émettre un au nom d'un autre. C'est le geste le plus puissant de cette surface, et il n'existe que pour une raison : le bouton « Tester le widget » de la console, qui doit ouvrir l'outil exactement tel que les médecins du partenaire le verront. Une clé ordinaire s'en voit refuser l'usage (`403 NOT_PLATFORM`). ## OpenAPI ````yaml /openapi.json post /v2/session-token openapi: 3.1.0 info: title: Locus API description: >- Locus knowledge layer — REST over a clinical knowledge graph. Two categories of surface: - **query** (read) — `/v2/retrieve` and `/v2/retrieve/stream` (knowledge-graph retrieval, MKF 0.1.3), `/v2/drugs/*` (the full text of an SmPC section a retrieval truncated) and `/v2/feedback` (a thumb on a traced answer); - **ops** — `/health`. The write plane (PDF → Neo4j graph: ingest, summarize, MKU extraction) is NOT exposed over HTTP — it is a batch pipeline driven by the `locus` CLI, which runs where the source PDFs are. version: 0.5.0 servers: - url: https://core.locusmedical.fr description: Production security: [] paths: /v2/session-token: post: tags: - b2b summary: 'Émettre un jeton de session pour un poste (auth : clé lsk_)' description: >- Échange votre clé `lsk_` contre un jeton court, lié à UN compte de votre parc. C'est ce jeton — et lui seul — que votre widget porte. **La clé ne descend jamais dans un navigateur.** Elle vaut pour tout votre parc ; un widget est du JavaScript lisible. Cette route est donc refusée à un jeton de session (`403 AUTH_KEY_REQUIRED`) : sans quoi un poste s'en émettrait un au nom du voisin. Le renouvellement est le même appel : redemandez-en un avant `exp`. `client` permet à une clé `platform` d'en émettre un au nom d'un autre. C'est le geste le plus puissant de cette surface, et il n'existe que pour une raison : le bouton « Tester le widget » de la console, qui doit ouvrir l'outil exactement tel que les médecins du partenaire le verront. Une clé ordinaire s'en voit refuser l'usage (`403 NOT_PLATFORM`). operationId: mint_session_token_v2_session_token_post parameters: - name: client in: query required: false schema: type: string maxLength: 200 description: >- Agir au nom d'un AUTRE client, par son `slug` ou son identifiant. Réservé aux clés `platform` — la console que nous servons, où c'est une personne qui se connecte et non une clé. Omis : le client de la clé présentée, comme toujours. default: '' title: Client description: >- Agir au nom d'un AUTRE client, par son `slug` ou son identifiant. Réservé aux clés `platform` — la console que nous servons, où c'est une personne qui se connecte et non une clé. Omis : le client de la clé présentée, comme toujours. requestBody: required: true content: application/json: schema: $ref: '#/components/schemas/SessionTokenRequest' responses: '200': description: Successful Response content: application/json: schema: $ref: '#/components/schemas/SessionTokenResponse' '422': description: Validation Error content: application/json: schema: $ref: '#/components/schemas/HTTPValidationError' security: - lsk: [] components: schemas: SessionTokenRequest: properties: user_ref: type: string maxLength: 200 minLength: 1 title: User Ref description: >- Le compte au nom duquel le jeton vaut — le poste ou le praticien, tel que VOUS le nommez. Un identifiant opaque (l'empreinte d'un id interne, par exemple) : jamais un nom, jamais un patient. C'est sur lui que l'historique et les crédits sont cloisonnés. scope: anyOf: - type: string maxLength: 200 - type: 'null' title: Scope description: >- Ce que le jeton pourra faire, séparé par des espaces. Défaut : `retrieve feedback history drugs logic`. Restreindre ne se rattrape pas après coup — un jeton déjà distribué garde le sien jusqu'à son expiration. ttl_seconds: anyOf: - type: integer maximum: 86400 minimum: 60 - type: 'null' title: Ttl Seconds description: 'Durée de vie demandée, plafonnée à 86400 s. Défaut : 12 h.' type: object required: - user_ref title: SessionTokenRequest SessionTokenResponse: properties: token: type: string title: Token exp: type: integer title: Exp description: Expiration du jeton (secondes Unix). absolute_exp: type: integer title: Absolute Exp description: >- Le plafond que le renouvellement ne franchira pas. Passé lui, il faut repartir d'un nouveau jeton — le dire d'avance évite à un poste de le découvrir en pleine consultation. scope: type: string title: Scope type: object required: - token - exp - absolute_exp - scope title: SessionTokenResponse HTTPValidationError: properties: detail: items: $ref: '#/components/schemas/ValidationError' type: array title: Detail type: object title: HTTPValidationError ValidationError: properties: loc: items: anyOf: - type: string - type: integer type: array title: Location msg: type: string title: Message type: type: string title: Error Type input: title: Input ctx: type: object title: Context type: object required: - loc - msg - type title: ValidationError securitySchemes: lsk: type: http description: >- Locus API key — paste the raw `lsk_…` value (no 'Bearer ' prefix) — or a B2B session token minted by `POST /v2/session-token`. scheme: bearer ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.