Authentification

L'API Superfasttt supporte trois mécanismes d'authentification. Tous utilisent le même header standard :

Authorization: Bearer <token>

Jeton web — apps web

Pour une intégration côté navigateur ou un serveur qui agit pour le compte d'un utilisateur final.

POST /api/auth/login
{
  "email": "user@example.com",
  "password": "...",
  "tenant_id": "<identifiant_espace_client>"
}
→ { "access_token": "...", "refresh_token": "...", "expires_in": 1800 }

L'access_token est valide 30 minutes. Renouvelez-le avec :

POST /api/auth/token/refresh
{ "refresh_token": "..." }

OTP — mobile / app desktop

Pour un appairage sans mot de passe via un code à usage unique envoyé par e-mail :

POST /api/auth/otp/request    # déclenche l'envoi du code
POST /api/auth/otp/verify     # retourne un jeton d'accès

API Key scopée — serveur à serveur

Pour les intégrations serveur qui n'agissent pas pour un utilisateur particulier (CRON, sync de documents, déclenchement de workflows…).

Créez une clé depuis l'interface d'administration (rubrique Paramètres → Clés API) ou via l'endpoint POST /api/v1/api-keys/. La clé suit le format sk-... et s'utilise dans le même header que les jetons web :

Authorization: Bearer sk-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Scopes disponibles

admin, knowledge_bases:read, knowledge_bases:write, documents:read, documents:ingest, connectors:read, connectors:sync, chat:query, feedback:read, feedback:write.

Le scope admin (ou *) donne accès à l'ensemble des actions autorisées par la clé. Pour le principe de moindre privilège, n'accordez que les scopes strictement nécessaires à l'intégration.