인증

MasterOS API는 오늘 단 하나의 메커니즘을 사용합니다: POST /v1/auth/verify-login-code(또는 OAuth callback)에 의해 설정되고, API reference에서 session 인증을 요구하는 모든 endpoint가 읽는 httpOnly session cookie입니다.

아직 별도의 API key나 bearer-token 방식은 없습니다 — 자신의 스크립트나 서버에서 보내는 request도 브라우저와 동일한 방식으로, 즉 로그인해서 얻은 cookie를 재사용해 인증해야 합니다. 제3자/server-to-server 연동을 위한 전용 API key 메커니즘은 계획되어 있지만 아직 구축되지 않았습니다 — Integrations 참고.

속도 제한

코드 요청, 코드 검증, 비밀번호 재설정 request는 IP 주소 기준과 이메일/계정 기준으로 각각 독립적으로 rate-limit되어, 어느 한쪽 제한만으로는 우회할 수 없습니다.

비밀번호 재설정

POST /v1/auth/forgot-password는 이메일 등록 여부와 관계없이 항상 동일한 response를 반환하므로, 호출자가 이를 이용해 실제 계정을 열거(enumerate)할 수 없습니다. reset token 자체는 일회용이며 정해진 기간 후 만료됩니다.