# Livraison Moventra ERP Mobile

## API mobile v1

- `POST /api/mobile/v1/auth/token` : connexion ou rotation du refresh token.
- `POST /api/mobile/v1/auth/revoke` : révocation de session.
- `GET /api/mobile/v1/bootstrap` : profil, capacités, référentiels et catégories visuelles.
- `GET|POST /api/mobile/v1/intervention-requests` : file et signalement idempotent.
- `POST /api/mobile/v1/intervention-requests/actions` : validation, refus, commentaire et conversion en OF.
- `POST /api/mobile/v1/intervention-requests/attachments` : photo/audio, maximum 12 Mo.
- `GET|POST /api/mobile/v1/collections` : portefeuille et actions de recouvrement confirmées.
- `GET /api/mobile/v1/dashboard` : KPIs selon les droits.
- `POST /api/mobile/v1/sync/push` : synchronisation groupée des signalements hors ligne.

## Sécurité

Les jetons d’accès sont des JWT HS256 de 15 minutes. Les refresh tokens opaques durent 30 jours, sont hachés en base, liés à un appareil et tournent à chaque renouvellement. La clé de signature est générée aléatoirement et conservée côté serveur. Les routes mobiles sont publiques uniquement au niveau du middleware ; chacune applique ensuite son authentification Bearer et le RBAC.

En production : terminer TLS sur IIS/reverse proxy, interdire HTTP, sauvegarder `db/moventra.sqlite` et `db/files`, et configurer les secrets de transport e-mail/paiement hors du dépôt.