---
title: "Request a password reset link. Always returns 200 (no email leak)."
method: POST
path: "/api/v1/auth/forgot-password"
tags: ["Authentification"]
---

# Request a password reset link. Always returns 200 (no email leak).

`POST /api/v1/auth/forgot-password`

## Request

- Base URL: `https://erp.eyeot.fr/api/v1`
- URL: `https://erp.eyeot.fr/api/v1/api/v1/auth/forgot-password`
- Auth: none declared

Request a password reset link. Always returns 200 (no email leak).

    Timing-equalised : tout le travail (user lookup, token persist, SMTP send)
    est déporté en background thread pour que la réponse HTTP soit O(parse +
    return) constant, quel que soit l'existence du compte. Sinon une
    enumeration via timing attack reste possible malgré le message générique.

## Request body

- ForgotPassword
  - `email` string, email, required

## Response `200`

Succès — payload `{data, meta}` (cf. API-GUIDE §3.1)

## Other responses

- `201`: Ressource créée. ID dans `data.id`.
- `400`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `404`: Ressource introuvable (ou cross-tenant — équivalent à hidden).
- `409`: État incohérent (email dupliqué, ressource déjà dans cet état, etc.).
- `422`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `429`: Trop de requêtes. Honorer le header `Retry-After` (secondes).

---

[API](https://skmtc.dev/eyeot/apis/eyeot-erp-api.md) · [All operations](https://skmtc.dev/eyeot/apis/eyeot-erp-api/llms.txt) · [OpenAPI document](https://skmtc.dev/eyeot/apis/eyeot-erp-api/revisions/42ab95222a89?raw)