Обмін коду авторизації на токен

Вхід «через rombik» у три кроки. 1) Опублікуй на своєму домені JSON-документ метаданих клієнта (CIMD) {"client_id": "<URL цього документа>", "client_name": "…", "redirect_uris": ["https://…/callback"]} — його https-URL і є client_id, реєстрація не потрібна; користувач на сторінці згоди бачить домен застосунку. Конфіденційного клієнта з секретом видає адміністрація rombik на запит. 2) Відправ користувача на https://rombik.app/oauth/authorize?response_type=code&client_id=…&redirect_uri=…&scope=openid+email+api&state=…&code_challenge=…&code_challenge_method=S256. 3) Обміняй code тут. Метадані: https://rombik.app/.well-known/oauth-authorization-server, OIDC — https://rombik.app/.well-known/openid-configuration. RFC 6749; тіло — application/x-www-form-urlencoded. Секрет конфіденційного клієнта передається у формі (client_secret) або в HTTP Basic. CIMD-клієнт секрета не має і зобов’язаний використати PKCE S256, redirect_uri мусить збігатися з тим, що був в authorize. Отриманий access_token — це звичайний ключ API rombik (rk_…): ним викликають /render і решту ендпоінтів, а рендер іде за тарифом користувача, який дав згоду (потрібен Pro). Термін дії не обмежений; користувач відкликає доступ у своєму акаунті (ключ зникає). Зі scope openid у відповіді додатково приходить id_token (RS256; ключі — GET /oauth/jwks).