Авторизация

Публичные API-роуты v2 требуют access token. Токен действует 24 часа и передается в заголовке Authorization.

Доступ к API выдается после регистрации на странице регистрации и подтверждения администратором.

Получение токена

POST /auth/token
Content-Type: application/json

{
  "login": "user@example.com",
  "password": "secret"
}

Успешный ответ:

{
  "status": true,
  "data": {
    "token": "JWTToken",
    "tokenType": "Bearer",
    "expiresAt": "2026-07-09T11:11:16.000Z",
    "expiresIn": 86400
  },
  "error": {},
  "message": ""
}

Поля срока действия:

• expiresAt - дата и время окончания токена в UTC ISO 8601;
• expiresIn - количество секунд до окончания токена;
• tokenType - схема авторизации для заголовка Authorization.

Endpoint ограничен rate limit: по умолчанию 10 попыток в минуту на источник запроса.

Использование токена

Передавайте токен в каждом запросе к публичному API:

Authorization: Bearer JWTToken

Вам не нужно декодировать JWT, чтобы узнать срок действия токена. Используйте expiresAt или expiresIn из ответа POST /auth/token.

Проверка токена

GET /auth/v2/check
Authorization: Bearer JWTToken

Успешный ответ:

{
  "status": true,
  "data": {
    "user": {
      "id": "mongoUserId",
      "email": "user@example.com",
      "company": "Company name",
      "role": "user",
      "isActive": true,
      "priceLevel": "Розн"
    },
    "token": {
      "tokenType": "Bearer",
      "expiresAt": "2026-07-09T11:11:16.000Z",
      "expiresIn": 86400
    }
  },
  "error": {},
  "message": ""
}

/auth/v2/check возвращает данные вашего пользователя, а также данные токена.

Совместимость с API v1

Для старых клиентов временно поддерживаются исходные auth-маршруты:

GET /auth/token/:login
Authorization: Bearer password

GET /auth/check
Authorization: Bearer JWTToken

Они возвращают legacy-обертку и ошибки с HTTP 200. GET /auth/check отдает исходную форму Mongo-пользователя без password, поэтому набор полей может различаться. Новым клиентам следует использовать POST /auth/token и GET /auth/v2/check.

Полный список поддерживаемых legacy-маршрутов находится в документации API v1.

Ошибки авторизации

API v2 возвращает нормальные HTTP-коды и сохраняет общую JSON-обертку:

{
  "status": false,
  "data": {},
  "error": {
    "code": 401,
    "name": "AuthorizationError",
    "message": "Неверное сочетание логина и пароля"
  },
  "message": ""
}

Основные статусы:

Ситуация	HTTP
Неверный логин или пароль	401
Токен отсутствует, истек или некорректен	401
Доступ пользователя к API отключен	403
Слишком много попыток авторизации	429

Полная таблица ошибок находится в разделе HTTP-ошибки.