Czeste pytania

Nie. Zakres email zwraca alias w domenie elogowanie.pl. Prawdziwy adres nie pojawia sie w zadnym tokenie ani w API dla firm.

Nowe wiadomosci na ten adres przestaja byc przekazywane, zakres email przestaje go zwracac, a firma widzi email_active: false. Tokeny aplikacji dzialaja dalej — jesli chcesz odciac ja calkowicie, cofnij zgode. Alias mozesz wlaczyc ponownie.

Kasujemy grant oraz wszystkie access i refresh tokeny tej aplikacji. Jej zapytania natychmiast dostaja 401 / invalid_grant. Dane pobrane wczesniej zostaja w systemie firmy — tego nie kontrolujemy.

Nie po naszym identyfikatorze — sub jest inny dla kazdej aplikacji. Jesli podasz obu firmom te same dane (np. ten sam numer telefonu), moga je zestawic same; to juz poza nasza kontrola.

Zeby imie, nazwisko i data urodzenia mialy poziom DOCUMENT zamiast "uzytkownik tak wpisal". Bez tego konto dziala normalnie — firma po prostu widzi, ze dane sa niepotwierdzone. Numer dokumentu nie trafia do zadnej aplikacji.

Dostajesz zakresy granularne (np. sama pelnoletnosc bez daty urodzenia) oraz informacje o poziomie potwierdzenia kazdej danej w polu elg_verification. Nie przechowujesz hasel ani prawdziwych adresow.

Dopisz zakres offline_access oraz parametr prompt=consent. Bez tego drugiego specyfikacja OIDC kaze zignorowac offline_access. Refresh tokeny dostaja tylko klienci serwerowi i sa rotowane przy kazdym uzyciu.

Przez odpowiedzi API: 401 na /oauth2/userinfo i invalid_grant na /oauth2/token. Webhooki nie sa jeszcze wdrozone.

Zakresy wrazliwe: address, document, pesel, birthdate i phone. Weryfikacja firmy jest obecnie ustawiana recznie — napisz na adres kontaktowy.

Nie ma jeszcze osobnego sandboxa ani demo.elogowanie.pl. Zaloz konto firmowe i wlasna aplikacje z adresem powrotu na http://localhost — to dziala bez ograniczen.