Authentication

La réponse contient success: true, un texte générique result, challengeId (32 caractères hexadécimaux) et expiresIn: 600. Conservez challengeId pour transmettre le code reçu par courriel.

const response = await fetch('/workers/getOTPForAccount.php', { method: 'POST', headers: { 'Content-Type': 'application/x-www-form-urlencoded' }, body: new URLSearchParams({ email })});const challenge = await response.json();// Demander à la personne le code reçu par courriel.// Conserver challenge.challengeId pour la confirmation.

Le code de six chiffres expire après dix minutes et admet cinq essais au maximum. Les envois sont espacés de soixante secondes, avec des quotas par courriel et par IP. Une limitation retourne rate_limited (HTTP 429).

Avec un seul profil, accountID est facultatif. Avec plusieurs profils et sans choix, HTTP 409 retourne code: account_selection_required, accounts et emailProof. Recommencez avec cette preuve et le profil choisi, sans réutiliser le code.

Vous pouvez également confirmer le code par POST sur /workers/listShops.php avec email, challengeId et otp : la réponse contient accounts, emailProof et expiresIn. Le courriel seul ne révèle aucune liste et retourne email_confirmation_required (HTTP 401), sans déclencher un envoi.

La confirmation consomme le code. La preuve expire après cinq minutes au maximum, sans prolongation, et est consommée une seule fois lors de la délivrance de la clé. Elle reste limitée au courriel et, si précisé à la demande, au profil initial.

const response = await fetch('/workers/getAuthTokenWithOTP.php', { method: 'POST', headers: { 'Content-Type': 'application/x-www-form-urlencoded' }, body: new URLSearchParams({ email, challengeId, emailProof, accountID })});const credentials = await response.json();// Utiliser credentials.APIKEY et credentials.SHOPID pour l’intégration.

{ "success": true, "result": "Here are your credentials", "APIKEY": "[votre clé API]", "SHOPID": "[identifiant de boutique]"}

Le rôle administrateur est vérifié à nouveau avant la délivrance. Une confirmation de courriel ne contourne pas les protections de l’identité ou du second facteur : connectez-vous dans Kash.click et utilisez une clé dédiée si ces protections sont actives. Les accès suspendus ou révoqués, les établissements fermés et les webservices désactivés sont refusés.

POST parameters

Expected JSON response (success)

{ "success": true, "result":"Here are your credentials", "APIKEY": "[your token]", "SHOPID": "[shop account ID]"}

Expected JSON response (failure)

{ "success": false, "result": "Authentication error"}

Un profil non administrateur reçoit HTTP 403 avec success: false, error: api_admin_required et message. Une identité ou un second facteur peut imposer la connexion interactive, puis une clé dédiée. Les clés existantes et les connexions au logiciel ne sont pas révoquées par ce contrôle.

JavaScript example (fetch)

const login = "mon.email@example.com";const password = "myPassword";fetch("https://kash.click/workers/getAuthTokenWithPassword.php", { method: "POST", headers: { "Content-Type": "application/x-www-form-urlencoded" }, body: new URLSearchParams({ login, password })}) .then(r => r.json()) .then(data => {  if (data.success) {   console.log("Token:", data.APIKEY);   console.log("Shop:", data.SHOPID);  } else {   console.error("Auth error", data);  } });