Fortnox a formulé un changement qui entrera en vigueur le 30 septembre 2026 :
Avis – Changement d’application de portée API à compter du 2026-09-30
Nous vous écrivons pour vous informer d’une incohérence d’application de portée identifiée dans un sous-ensemble de nos points d’accès API. Vous recevez cet avis parce que nos journaux indiquent un trafic API au cours du dernier mois d’au moins un clientId enregistré pour votre organisation.
Ce que nous avons trouvé
Trois catégories de points d’accès n’appliquent actuellement pas correctement la validation de portée. Les requêtes à ces points d’accès sont acceptées et retournent 200 OK, y compris une charge utile complète, même lorsque la portée requise est absente du JWT présenté. Il s’agit d’une déviation par rapport au comportement prévu ; ces appels devraient être rejetés lorsque la portée correspondante n’est pas accordée.Points d’accès affectés
Catégorie de point d’accès Portée requise /api/warehouse/* warehouse /api/warehouse/documentdeliveries/custom/* warehousecustomdocument /api/time/* timereporting Ce qui change et quand
À partir du 2026-09-30, les appels aux points d’accès listés ci-dessus retourneront 403 Forbidden si le JWT accompagnant n’inclut pas la portée requise correspondante. Ce n’est pas une nouvelle restriction, c’est le comportement prévu, correct qui n’est actuellement pas appliqué.
Pourquoi cela vous concerne
Si votre intégration a appelé l’un de ces points d’accès sans la portée correspondante explicitement accordée, vos appels ont réussi uniquement en raison de cet écart d’application. À partir du 2026-09-30, toute requête de ce type échouera avec 403 Forbidden au lieu de renvoyer une réponse réussie.
Ce que nous vous recommandons de faire avant le 2026-09-30
Passez en revue la configuration actuelle de votre intégration par rapport au tableau ci-dessus. Vérifiez si votre clientId a reçu les bonnes portées pour les points d’accès que vous utilisez.
Si une portée requise est manquante, demandez son ajout bien avant la date d’application pour éviter toute perturbation en production.Les JWT que vous avez actuellement actifs sans ces portées doivent être renouvelés avec les bonnes portées pour continuer à fonctionner avec les points d’accès mentionnés ci-dessus. Cela signifie que dans l’étape Auth Code, vous devez vous assurer d’inclure pour le paramètre de portée toutes les portées pertinentes pour votre cas d’utilisation. L’utilisateur doit donc redonner son consentement en incluant la ou les portées actuellement manquantes.