認証

MasterOSのAPIは現在、単一のメカニズムを使用しています: POST /v1/auth/verify-login-code(またはOAuthコールバック)によって設定されるhttpOnlyセッションクッキーで、API reference内でsession認証を必要とするすべてのエンドポイントによって読み取られます。

現在、別個のAPIキーやbearerトークン方式はありません——あなた自身のスクリプトやサーバーからのリクエストも、ブラウザと同じ方法、つまりログインして結果として得られるクッキーを再利用することで認証する必要があります。サードパーティ/サーバー間統合のための専用APIキーメカニズムは計画されていますが、まだ構築されていません——Integrationsを参照してください。

レート制限

コード送信、コード検証、パスワードリセットのリクエストは、IPアドレスとメール/アカウントによってそれぞれ独立してレート制限されます。そのため、どちらか一方の制限だけを回避することはできません。

パスワードリセット

POST /v1/auth/forgot-passwordは、そのメールアドレスが登録されているかどうかにかかわらず、常に同じレスポンスを返します。そのため、呼び出し元がそれを使って実在するアカウントを列挙することはできません。リセットトークン自体は1回限り使用可能で、一定期間後に失効します。