> ## Documentation Index
> Fetch the complete documentation index at: https://developers.0flaw.fr/llms.txt
> Use this file to discover all available pages before exploring further.

# Envoyer leurs identifiants à plusieurs employés

> Sans `employee_ids`, cible **tous les employés en attente d'accès** (actifs,
jamais connectés, hors SSO). Plafonné à 100 envois par appel : au-delà,
`summary.truncated` vaut `true` et il faut rappeler l'endpoint.

Les employés non éligibles (déjà connectés, SSO, archivés) sont **ignorés**,
pas mis en échec : voir `results[].status` et `results[].code`.



## OpenAPI

````yaml /openapi.json post /api/v1/employees/invite-bulk
openapi: 3.1.0
info:
  title: API 0flaw
  version: 1.0.0
  description: >-
    API publique de 0flaw : provisionnez vos employés depuis votre SIRH/AD et
    recevez

    les événements de sécurité dans votre SIEM.


    ## Authentification

    Toutes les requêtes exigent une clé API, créée depuis votre dashboard

    (Réglages → Clés API). Transmettez-la dans l'en-tête `Authorization` :


    ```

    Authorization: Bearer 0flaw_live_xxxxxxxx

    ```


    L'en-tête `x-api-key` est également accepté. Une clé est **scopée à une
    seule

    entreprise** : elle ne peut jamais lire ni modifier les données d'une autre.


    ## Limites de débit

    600 requêtes par tranche de 15 minutes et par clé. Les en-têtes
    `RateLimit-*`

    accompagnent chaque réponse ; un dépassement renvoie `429`.


    ## Gestion des erreurs

    Fiez-vous au champ `code` (stable) et non au `message` (susceptible
    d'évoluer).
  contact:
    name: Support 0flaw
    url: https://app.0flaw.fr
servers:
  - url: https://api.0flaw.fr
    description: Production
security:
  - apiKey: []
tags:
  - name: Général
    description: Vérification d'accès et introspection de la clé
  - name: Employés
    description: 'Provisioning : création, mise à jour, désactivation, invitations'
  - name: Résultats
    description: Campagnes de phishing et leurs résultats (scope read:results)
  - name: Radar
    description: Risk scores par axe (scope read:scores)
  - name: Formations
    description: Statut des formations des employés (scope read:trainings)
paths:
  /api/v1/employees/invite-bulk:
    post:
      tags:
        - Employés
      summary: Envoyer leurs identifiants à plusieurs employés
      description: >-
        Sans `employee_ids`, cible **tous les employés en attente d'accès**
        (actifs,

        jamais connectés, hors SSO). Plafonné à 100 envois par appel : au-delà,

        `summary.truncated` vaut `true` et il faut rappeler l'endpoint.


        Les employés non éligibles (déjà connectés, SSO, archivés) sont
        **ignorés**,

        pas mis en échec : voir `results[].status` et `results[].code`.
      requestBody:
        required: false
        content:
          application/json:
            schema:
              type: object
              properties:
                employee_ids:
                  type: array
                  items:
                    type: string
                  description: >-
                    Identifiants 0flaw ou `external_id`. Omis ⇒ tous les
                    employés en attente.
                force:
                  type: boolean
                  default: false
      responses:
        '200':
          description: Rapport d'envoi
          content:
            application/json:
              schema:
                type: object
                properties:
                  ok:
                    type: boolean
                  summary:
                    type: object
                    properties:
                      total:
                        type: integer
                      invited:
                        type: integer
                      skipped:
                        type: integer
                      failed:
                        type: integer
                      truncated:
                        type: boolean
                      max_per_call:
                        type: integer
                      mode:
                        type: string
                        enum:
                          - selection
                          - all_pending
                  results:
                    type: array
                    items:
                      type: object
                      properties:
                        id:
                          type: string
                        email:
                          type: string
                        status:
                          type: string
                          enum:
                            - invited
                            - skipped
                            - failed
                        code:
                          type: string
        '401':
          description: Clé API absente ou invalide
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/ErrorResponse'
              example:
                message: Clé API invalide ou révoquée
                code: API_KEY_INVALID
        '403':
          description: La clé ne porte pas le scope requis
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/ErrorResponse'
              example:
                message: 'Scope requis : write:employees'
                code: INSUFFICIENT_SCOPE
        '429':
          description: Quota de requêtes dépassé pour cette clé
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/ErrorResponse'
              example:
                message: Trop de requêtes, réessayez plus tard.
                code: RATE_LIMIT_EXCEEDED
      security:
        - apiKey:
            - write:employees
components:
  schemas:
    ErrorResponse:
      type: object
      properties:
        message:
          type: string
          description: Message lisible par un humain
        code:
          type: string
          description: Code stable, à utiliser pour la logique client
      required:
        - message
        - code
  securitySchemes:
    apiKey:
      type: http
      scheme: bearer
      description: >-
        Clé API créée depuis le dashboard (Réglages → Clés API). L'en-tête
        `x-api-key: <clé>` est accepté en alternative à `Authorization: Bearer
        <clé>`.

````