Après une première analyse, voici ce qui a été rajouté :
Un header X-REQUEST-ID qui est un UUID généré propre à chaque requête HTTP envoyée
Un header X-CLIEND-ID qui est un UUID suivi de la version de candilib utilisé pour chaque requête
J'ai effectué divers tests avec des valeurs réelles tirées du site je constate que le problème persiste et donc deux pistes :
Les security headers ne sont pas ce qui empêche l'authentification à l'API et le problème provient vraiment du token
L'UUID du X-CLIENT-ID est généré d'une façon bien précise. Il est vérifié à chaque requête empêchant ainsi l'usage d'un autre client que celui du site web officiel.
Fixes #30 #27 #24