Authentification
Comment les requêtes vers l'API MasterOS sont authentifiées aujourd'hui.
Sur cette page
L'API de MasterOS utilise aujourd'hui un mécanisme unique : un cookie de session httpOnly, défini par
POST /v1/auth/verify-login-code (ou un callback OAuth) et lu par chaque endpoint qui exige une authentification session dans
la API reference.
Il n'existe pas encore de schéma de clé API ou de jeton bearer séparé — une requête depuis votre propre script ou serveur devrait s'authentifier de la même façon qu'un navigateur, en se connectant et en réutilisant le cookie résultant. Un mécanisme de clé API dédié pour les intégrations tierces/serveur-à-serveur est prévu mais pas encore construit — voir Integrations.
Limitation de fréquence
Les requêtes de demande de code, de vérification de code, et de réinitialisation de mot de passe sont limitées en fréquence de façon indépendante par adresse IP et par email/compte, de sorte qu'aucune des deux limites ne puisse à elle seule être contournée.
Réinitialisation de mot de passe
POST /v1/auth/forgot-password renvoie toujours la même réponse, que l'email soit enregistré ou non, afin qu'un
appelant ne puisse pas l'utiliser pour énumérer de vrais comptes. Le token de réinitialisation lui-même est à usage
unique et expire après une fenêtre fixe.