---
title: "Déconnexion — IRR-300 : pas de @user_authenticated, le cookie refresh"
method: POST
path: "/api/v1/auth/logout"
tags: ["Authentification"]
---

# Déconnexion — IRR-300 : pas de @user_authenticated, le cookie refresh

`POST /api/v1/auth/logout`

## Request

- Base URL: `https://erp.eyeot.fr/api/v1`
- URL: `https://erp.eyeot.fr/api/v1/api/v1/auth/logout`
- Auth: one of:
  - HTTP bearer
  - HTTP bearer

Déconnexion — IRR-300 : pas de @user_authenticated, le cookie refresh
    suffit à identifier la session. Sans cela, un fetch() client sans header
    Bearer échouait en 401 silencieux, le refresh_cookie HttpOnly restait
    vivant, et le flow `/auth/refresh` suivant ré-hydratait l'utilisateur
    précédent côté client.

    La route révoque :
    1. L'access_token présent dans Authorization (si le client l'envoie)
    2. Le refresh_token présent dans le cookie HttpOnly
    3. Et efface explicitement le cookie avec `unset_refresh_cookies`

## Response `200`

Succès — payload `{data, meta}` (cf. API-GUIDE §3.1)

## Other responses

- `201`: Ressource créée. ID dans `data.id`.
- `400`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `401`: JWT manquant, expiré ou révoqué.
- `404`: Ressource introuvable (ou cross-tenant — équivalent à hidden).
- `409`: État incohérent (email dupliqué, ressource déjà dans cet état, etc.).
- `422`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `429`: Trop de requêtes. Honorer le header `Retry-After` (secondes).

---

[API](https://skmtc.dev/eyeot/apis/eyeot-erp-api.md) · [All operations](https://skmtc.dev/eyeot/apis/eyeot-erp-api/llms.txt) · [OpenAPI document](https://skmtc.dev/eyeot/apis/eyeot-erp-api/revisions/42ab95222a89?raw)