Endpointit

Kaikki alla olevat polut ovat suhteessa tenantin isäntänimeen (esim. https://id.esimerkki.fi), lukuun ottamatta terveystarkastuksia, jotka vastaavat myös pod-sisäisellä IP-osoitteella. Host-header ratkaisee tenantin jokaisessa pyynnössä — tuntematon isäntänimi palauttaa 404 (ei oletustenanttia).

OIDC / OAuth ydin

Metodi	Polku	Auth
GET	/.well-known/openid-configuration	Ei vaadita
GET	/.well-known/jwks.json	Ei vaadita
GET	/authorize	Ei vaadita (aloittaa kirjautumisen)
GET, POST	/consent	Vaatii kirjautuneen istunnon
POST	/token	Client-todennus (Basic-auth tai lomakekentät, tai PKCE public clientille)
GET, POST	/userinfo	Authorization: Bearer <access_token> tai DPoP <access_token>
POST	/introspect	Client Basic-auth (RFC 7662)
POST	/revoke	Client-todennus (RFC 7009). Palauttaa aina 200
GET, POST	/logout	Ei vaadita (RP-Initiated Logout + istunnon uloskirjautuminen)
GET, POST	/mfa/challenge	Vaatii kesken olevan kirjautumissession

Kirjautumis-UI

Metodi	Polku	Auth
GET	/login	Ei vaadita
GET, POST	/register	Ei vaadita
GET, POST	/auth/magic-link, /auth/magic-link/request	Ei vaadita
GET, POST	/auth/magic-link/verify	Kertakäyttöinen magic link -token
POST	/auth/magic-link/code	Viestin mukana tullut 6-numeroinen kirjautumiskoodi + __Host-mlpending-eväste
GET	/auth/magic-link/poll	Kesken olevan magic link -pyynnön tunniste
POST	/passkey/register/start, /finish	Vaatii kirjautuneen istunnon
POST	/passkey/authenticate/start, /finish	Ei vaadita
POST	/passkey/authenticate/discoverable/start, /finish	Ei vaadita (discoverable credentials)
GET, POST	/auth/mfa/totp	Kesken olevan kirjautumissession
GET, POST	/auth/verify-phone, /send, /confirm	Vaatii kirjautuneen istunnon
GET	/auth/google/start, /auth/google/callback	Ei vaadita
GET	/auth/ftn/start, /auth/ftn/callback	Ei vaadita — ks. Vahva tunnistus (FTN) tilasta

Oma tili (vaatii kirjautuneen istunnon)

Metodi	Polku	Huomio
GET, POST	/auth/onboarding, /create, /accept	Organisaatiovalintaportti ensimmäisellä kirjautumisella
GET	/account, /account/sessions	Profiili ja aktiiviset sessiot
POST	/account/sessions/revoke-others, /{id}/revoke	Sessioiden hallinta
GET	/account/passkeys	Rekisteröidyt passkeyt
POST	/account/passkeys/{id}/delete	Passkeyn poisto
GET, POST	/api/orgs, /api/orgs/{id}	Käyttäjän omien organisaatioiden hallinta (evästepohjainen)
GET, PATCH	/api/identity/me	Oman profiilin haku/päivitys
POST	/api/identity/orgs/{org_id}/invitations	Kutsun luonti (kirjautuneena käyttäjänä)
GET, POST	/api/identity/invitations/{token}, /accept	Kutsun esikatselu ja hyväksyntä

Tenant-admin-paneeli (/admin/*, vaatii admin-session)

Katso Tenant-admin-paneeli täydelliselle kuvaukselle. Lyhyesti: /admin (kojelauta), /admin/users, /admin/clients, /admin/orgs, /admin/webhooks, /admin/roles, /admin/audit — kaikki vaativat kirjautuneen, tenantin admin-lipulla varustetun käyttäjän session.

Machine API (M2M) — /admin/*, HMAC-allekirjoitettu

Sama /admin/*-polkuavaruus kuin tenant-admin-paneelilla, mutta erotetaan siitä HMAC-headereilla (X-Client-Id/X-Timestamp/X-Signature) — ei evästepohjaista sessiota. Täysi reittitaulukko: Machine API.

Terveys ja koneluettavat kuvaukset

Polku	Huomio
/health, /health/live, /health/ready, /healthz, /readyz	Ohittavat tenant-resoluution
/llms.txt	Agenteille suunnattu johdanto
/agent-api.md	Machine API:n proosamuotoinen kuvaus
/openapi/machine-api.yaml, /.well-known/tunnuspalvelu-machine-api.openapi.yaml	OpenAPI-kuvaus

/metrics ei kuulu julkiseen reitistöön — se tarjoillaan erillisellä portilla vain sisäverkon Prometheus-keräimelle, ei tenantin isäntänimen alla.

Rekisteröinti

tunnuspalvelu ei tue dynaamista client-rekisteröintiä (RFC 7591) — registration_endpoint discovery-dokumentissa on null. Clientit luodaan tenant-admin-paneelissa tai machine API:n createServiceClient-operaatiolla.