---
title: "Cancel the user's subscription."
method: POST
path: "/api/v1/billing/cancel"
tags: ["Facturation & Abonnements"]
---

# Cancel the user's subscription.

`POST /api/v1/billing/cancel`

## Request

- Base URL: `https://erp.eyeot.fr/api/v1`
- URL: `https://erp.eyeot.fr/api/v1/api/v1/billing/cancel`
- Auth: one of:
  - HTTP bearer
  - HTTP bearer

Cancel the user's subscription.

    - If linked to Stripe: schedule cancellation at period end (cancel_at_period_end=True)
    - Otherwise (license key / trial without payment): mark canceled immediately

    R230 BUG-028 Sprint+1 : action critique (impact billing) → step-up
    TOTP requis (≤ 5 minutes). Compliance PCI-DSS 4.0 §8.6.

    Vague 8 fuzz adversarial 2026-05-27 : `@step_up_required` skip pour les
    rôles non-privileged sans 2FA (cf core/auth.py:754 — assomption "@
    permissions_required aura refusé en amont" FAUSSE ici). Le service
    impose désormais owner-only via `_assert_billing_owner_or_super_admin`.
    Route catch PermissionError → 403 propre.

## Response `200`

Succès — payload `{data, meta}` (cf. API-GUIDE §3.1)

## Other responses

- `201`: Ressource créée. ID dans `data.id`.
- `400`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `401`: JWT manquant, expiré ou révoqué.
- `404`: Ressource introuvable (ou cross-tenant — équivalent à hidden).
- `409`: État incohérent (email dupliqué, ressource déjà dans cet état, etc.).
- `422`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `429`: Trop de requêtes. Honorer le header `Retry-After` (secondes).

---

[API](https://skmtc.dev/eyeot/apis/eyeot-erp-api.md) · [All operations](https://skmtc.dev/eyeot/apis/eyeot-erp-api/llms.txt) · [OpenAPI document](https://skmtc.dev/eyeot/apis/eyeot-erp-api/revisions/42ab95222a89?raw)