Zones d’autorisation et d’accès
Connexion par lien
Votre serveur appelle POST /v1/auth/login-link avec X-API-Key et X-Customer-ID. Indiquez mailbox_id pour ouvrir uniquement cette boîte ; sans ce champ, tout le compte sera accessible. locale choisit la langue de l’interface.
La réponse contient login_url, expires_in=300, expires_at (UTC), account_id et mailbox_id. Le bouton « Ouvrir la messagerie » ouvre login_url en entier, y compris #token. Le lien est valable 5 minutes et une seule fois. Ne le journalisez pas et n’exposez pas la clé API dans le navigateur.
La page de connexion retire le jeton de la barre d’adresse et l’échange contre des cookies HttpOnly. En cas d’erreur ou d’expiration, créez un nouveau lien. Les droits et l’état du compte et de la boîte sont revérifiés. Les sessions utilisateur ne peuvent pas créer de liens.
curl https://adapt-mail.com/v1/auth/login-link \ -H "X-API-Key: <mail-api-key>" \ -H "X-Customer-ID: <mail-account-id>" \ -H "Content-Type: application/json" \ --data '{"mailbox_id":42,"locale":"en"}'
{ "login_url": "https://adapt-mail.com/auth/#token=<one-time-token>", "expires_in": 300, "expires_at": "2026-10-20T12:05:00Z", "account_id": 123, "mailbox_id": 42}Clé du partenaire
Utilisez la clé mail API- de votre intégration. Transmettez-le à X-API-Key et ID du compte de messagerie - dans l'en-tête requis X-Customer-ID. Il s'agit de ID du compte, pas de external_id ni de ID de la boîte aux lettres. La clé permet d'accéder uniquement aux clients de votre intégration.
Stockez la clé sur le serveur de votre partenaire. Ne placez pas la clé d'intégration partagée dans le navigateur ou l'application mobile.
curl 'https://adapt-mail.com/v1/mailboxes' \ -H 'X-API-Key: <mail-api-key>' \ -H 'X-Customer-ID: <mail-account-id>'Jeton utilisateur
POST /v1/auth/token accepte login, password et mode. Pour mode=account, le login user-ID est utilisé, pour mode=mailbox, l'adresse complète de la boîte aux lettres est utilisée. Les mots de passe des comptes et des boîtes mail sont indépendants.
La réponse contient access_token, token_type=Bearer et expires_in=3600. Le jeton de compte ouvre ses cases ; jeton de boîte - une seule boîte. Après expiration, vous recevrez un nouveau jeton.
POST /v1/auth/tokenContent-Type: application/json
{"login":"user-123","password":"<password>","mode":"account"}
GET /v1/mailboxesAuthorization: Bearer <access_token>Sessions de navigateur
POST /v1/auth/login est pour son propre site adapt-mail.com. Il nécessite le bon Origin et installe HttpOnly cookies. Non classé X-Mail-Session sélectionne l'une des entrées enregistrées, mais sans cookie ne donne pas accès.
Pour l'interface tierce, utilisez votre serveur et votre jeton utilisateur. Ne comptez pas sur un accès aléatoire entre domaines à partir de cookie: public CORS pour n'importe quel site n°.