Справочник API

Вход и личный кабинет

Регистрация, вход, подтверждение почты, профиль, адреса доставки и устройства. Нужно, если вы делаете свою витрину: гость проходит путь до оплаты без входа, но история заказов, избранное и бонусы — уже за входом. Общее для всего раздела: любой эндпоинт с заголовком X-CSRF-Token может ответить 403 {"error":"Неверный или отсутствующий CSRF-токен"} либо 403 {"error":"Недопустимый Origin"} — это не описано у каждого эндпоинта отдельно, чтобы не повторяться.

Как устроен вход

После входа платформа ставит две куки: короткоживущую для доступа и долгую для продления. Токен в теле ответа не возвращается намеренно — так его не сможет прочитать посторонний скрипт на странице.

Все запросы отправляйте с credentials: "include". Если витрина и API на разных доменах, без этого браузер не приложит куки, и вход будет «слетать» на каждой перезагрузке.

Ключ для форм

Любой изменяющий запрос требует заголовка X-CSRF-Token — возьмите его один раз через GET /auth/csrf и держите в памяти приложения. Это защита от того, чтобы чужой сайт отправил запрос от имени вашего покупателя, пользуясь его куками.

Ответ 403 с упоминанием CSRF почти всегда означает, что ключ устарел: возьмите новый и повторите запрос.

Что делать при 401

Короткий доступ живёт недолго, и рано или поздно любой запрос вернёт 401. Правильная реакция: вызвать POST /auth/refresh и повторить исходный запрос. Если и refresh ответил 401 — сессии больше нет, показывайте форму входа. Повторять его в цикле бессмысленно.

Покупатель принадлежит магазину

Регистрация привязывает человека к тому магазину, где он зарегистрировался. Один и тот же адрес почты может быть заведён в разных магазинах платформы — это разные учётные записи с разной историей заказов.

Поэтому заголовок X-Site-Source обязателен при регистрации, входе и восстановлении пароля.

вход

const csrf = await fetch("https://api.amarix.ru/auth/csrf", {
  credentials: "include",
}).then((r) => r.json());

await fetch("https://api.amarix.ru/auth/login", {
  method: "POST",
  credentials: "include",
  headers: {
    "Content-Type": "application/json",
    "X-Site-Source": "acme",
    "X-CSRF-Token": csrf.csrfToken,
  },
  body: JSON.stringify({ email, password }),
});

GET/auth/csrf

Ключ для форм

Одноразовый ключ, без которого не пройдёт ни один изменяющий запрос.

Доступ:Без авторизации

Возьмите его перед первым POST и держите в памяти приложения. Платформа проверяет его у всех методов, кроме чтения: так чужой сайт не сможет отправить запрос от имени вашего покупателя, даже если браузер приложит его куки.

Поля ответа

Поле	Тип	Описание
`csrfToken`	string	Кладите его в заголовок X-CSRF-Token.

ответ

{
  "csrfToken": "b5f1…"
}

POST/auth/register

Регистрация

Заводит покупателя и сразу выполняет вход.

Доступ:Без авторизации

Магазин берётся из заголовка витрины: покупатель принадлежит тому магазину, где зарегистрировался. Один и тот же адрес почты может быть заведён в разных магазинах платформы — это разные люди с точки зрения данных.

Заголовки

Параметр	Тип	Обязателен	Описание
`X-Site-Source`	string	да	Код магазина. Без него регистрация отклоняется.
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`email`	string	да	Почта покупателя.
`password`	string	да	Пароль.
`lastName`	string	да	Фамилия.
`firstName`	string	да	Имя.
`middleName`	string	нет	Отчество.
`phone`	string	нет	Телефон.
`agreedToMarketing`	boolean	нет	Согласие на рассылку. Отдельное от согласия на обработку данных.
`initData`	string	нет	Данные Telegram, если регистрация идёт из мини-приложения.

Поля ответа

Поле	Тип	Описание
`user`	object	Профиль нового покупателя.

ответ

{
  "user": {
    "id": 4821,
    "email": "kupil@example.com",
    "lastName": "Иванов",
    "firstName": "Иван",
    "middleName": null,
    "phone": null,
    "agreedToMarketing": false,
    "emailVerified": false,
    "storefrontBrandKey": "acme",
    "createdAt": "2026-09-02T10:00:00.000Z"
  }
}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Пользователь с такой почтой уже существует"}`	В этом магазине уже есть покупатель с таким адресом.	Предложите войти или восстановить пароль.
400	`{"error":"Регистрация покупателя доступна только на витрине бренда"}`	Запрос пришёл без заголовка витрины.	Добавьте X-Site-Source.
400	`{"error":"Этот Telegram уже привязан к другому аккаунту"}`	initData ссылается на Telegram-аккаунт, уже привязанный к другому покупателю.	—
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов на регистрацию/вход с одного адреса за 15 минут (успешные не считаются).	—

POST/auth/login

Вход

Проверяет пару почта-пароль и ставит куки сессии.

Доступ:Без авторизации

Ответ содержит профиль, а сам доступ приходит куками: браузер приложит их сам, если вы шлёте запросы с credentials: "include". Токен в теле не возвращается намеренно — так его не сможет прочитать посторонний скрипт на странице.

Заголовки

Параметр	Тип	Обязателен	Описание
`X-Site-Source`	string	нет	Код магазина. Формально не обязателен — без него запрос не отклоняется, но резолвится в служебный контекст персонала, а не покупателя магазина. Для витрины передавайте всегда.
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`email`	string	да	Почта.
`password`	string	да	Пароль.
`initData`	string	нет	Данные Telegram для входа из мини-приложения.

Поля ответа

Поле	Тип	Описание
`user`	object	Полный профиль покупателя — тот же набор полей, что у GET /auth/profile.

ответ

{
  "user": {
    "id": 4821,
    "email": "kupil@example.com",
    "lastName": "Иванов",
    "firstName": "Иван",
    "middleName": null,
    "phone": "+79990000000",
    "telegram": null,
    "telegramId": null,
    "avatarUrl": null,
    "agreedToMarketing": false,
    "emailVerified": true,
    "mustChangePassword": false,
    "bonusBalance": 0,
    "createdAt": "2026-01-01T00:00:00.000Z",
    "updatedAt": "2026-01-01T00:00:00.000Z",
    "roles": ["customer"],
    "permissions": [],
    "allBrands": false,
    "brandIds": [1],
    "brandCodes": ["acme"],
    "hasSiteAccess": false
  }
}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
401	`{"error":"Неверный email или пароль"}`	Пара не сошлась либо покупателя нет в этом магазине.	Один и тот же текст на оба случая — это сделано намеренно, чтобы нельзя было перебором узнать, кто у вас зарегистрирован.
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов на вход/регистрацию с одного адреса за 15 минут (успешные не считаются).	—

POST/auth/telegram-login

Вход через Telegram

Вход или регистрация по initData мини-приложения — без пароля.

Доступ:Без авторизации

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`initData`	string	да	Данные Telegram Web App, подписанные ботом.

Поля ответа

Поле	Тип	Описание
`user`	object	Полный профиль покупателя — тот же набор полей, что у GET /auth/profile.

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Требуется initData от Telegram"}`	Тело пустое или initData не строка.	—
401	`{"error":"<текст ошибки проверки подписи>"}`	initData не проходит проверку подписи бота или просрочена.	—

POST/auth/refresh

Продлить сессию

Обновляет короткоживущий доступ по долгой куке.

Доступ:Сессия сотрудника

Вызывайте, когда любой запрос вернул 401, и повторяйте исходный запрос. Тело не нужно — всё берётся из кук. Проверка не через обычный auth-миддлварь: маршрут проверяет refresh-куку вручную в самом контроллере, поэтому здесь нет привычного 401 {"error":"Unauthorized"}.

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

ответ

{
  "accessToken": "eyJhbGciOiJIUzI1NiIs...",
  "refreshToken": "eyJhbGciOiJIUzI1NiIs..."
}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
401	`{"error":"Refresh token не предоставлен"}`	Долгой куки нет вообще.	Показывайте форму входа.
401	`{"error":"Сессия недействительна"}`	Кука есть, но сессия не проходит проверку (отозвана, не совпадает с записью на сервере).	Показывайте форму входа.
401	`{"error":"<текст ошибки из jwt-библиотеки>"}`	Долгая кука просрочена или повреждена — текст берётся напрямую из ошибки проверки токена (jwt expired, invalid signature и т.п.), поэтому не постоянный.	Показывайте форму входа.

POST/auth/logout

Выход

Гасит текущую сессию и стирает куки.

Доступ:Без авторизации

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

ответ

{"message":"Вы успешно вышли из системы"}

POST/auth/verify-email

Подтвердить почту

Принимает код из письма.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`code`	string	да	Код из письма.

ответ

{
  "user": {
    "id": 4821,
    "email": "kupil@example.com",
    "emailVerified": true
  }
}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Неверный код подтверждения"}`	Код не совпал.	—
400	`{"error":"Срок действия кода истёк"}`	Код просрочен.	Запросите новый через /auth/resend-verification.
400	`{"error":"Пользователь не найден"}`	Покупателя с этой сессией больше нет.	—

POST/auth/resend-verification

Выслать код заново

Отправляет новый код подтверждения почты.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

ответ

{"message":"Код подтверждения отправлен"}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Email уже подтвержден"}`	Почта подтверждена раньше.	—
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов с одного адреса за 15 минут (успешные не считаются).	Покажите таймер и дайте повторить позже.

POST/auth/forgot-password

Забыли пароль

Отправляет письмо со ссылкой восстановления.

Доступ:Без авторизации

Ответ одинаковый независимо от того, есть такой покупатель или нет: иначе форму можно использовать, чтобы узнать, кто у вас зарегистрирован.

Заголовки

Параметр	Тип	Обязателен	Описание
`X-Site-Source`	string	нет	Код магазина. Формально не обязателен — без него запрос резолвится в служебный контекст, а не в контекст магазина. Для витрины передавайте всегда.
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`email`	string	да	Почта.

ответ

{"message":"Если аккаунт с такой почтой существует, на неё отправлен код"}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов с одного адреса за 15 минут.	—

POST/auth/reset-password

Задать новый пароль

Меняет пароль по коду из письма.

Доступ:Без авторизации

Заголовки

Параметр	Тип	Обязателен	Описание
`X-Site-Source`	string	нет	Код магазина. Формально не обязателен — без него запрос резолвится в служебный контекст, а не в контекст магазина. Для витрины передавайте всегда.
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`email`	string	да	Почта.
`code`	string	да	Код из письма.
`newPassword`	string	да	Новый пароль. Имя поля именно newPassword, не password.

ответ

{"message":"Пароль успешно изменён"}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Неверный email или код"}`	Такого покупателя нет либо код выписан не ему.	—
400	`{"error":"Неверный код"}`	Код не совпал.	—
400	`{"error":"Срок действия кода истёк"}`	Код просрочен.	—
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов с одного адреса за 15 минут.	—

POST/auth/change-password

Сменить пароль

Меняет пароль, когда покупатель уже вошёл.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`currentPassword`	string	да	Действующий пароль.
`newPassword`	string	да	Новый пароль.
`confirmPassword`	string	да	Повтор нового пароля — должен совпасть с newPassword.

ответ

{"message":"Пароль успешно изменён"}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Заполните все поля"}`	Какое-то из трёх полей пустое.	—
400	`{"error":"Пароли не совпадают"}`	newPassword и confirmPassword разошлись.	—
400	`{"error":"Пароль должен быть не менее 8 символов"}`	Проверка длины на уровне контроллера.	—
400	`{"error":"Текущий пароль неверный"}`	currentPassword не совпадает с действующим.	—
400	`{"error":"Пароль должен содержать минимум 8 символов"}`	Повторная проверка длины на уровне сервиса.	—
400	`{"error":"Нельзя использовать временный пароль. Придумайте новый."}`	newPassword совпадает с временным паролем, который выдала платформа.	—
400	`{"error":"Новый пароль должен отличаться от текущего"}`	newPassword совпадает с currentPassword.	—

POST/auth/change-email-request

Запрос смены почты

Отправляет код на новый адрес.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`newEmail`	string	да	Новый адрес.

ответ

{"message":"Код подтверждения отправлен на новый email"}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Email уже используется"}`	Адрес занят другим покупателем этого магазина.	—
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов с одного адреса за 15 минут.	—

POST/auth/change-email-confirm

Подтвердить смену почты

Применяет новый адрес по коду.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`code`	string	да	Код с нового адреса.

ответ

{
  "user": {
    "id": 4821,
    "email": "novaya@example.com",
    "emailVerified": true
  }
}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
400	`{"error":"Запрос на смену email не найден"}`	Смену не запрашивали или запрос устарел.	—
400	`{"error":"Неверный код подтверждения"}`	Код не совпал.	—
400	`{"error":"Срок действия кода истёк"}`	Код просрочен.	—
429	`{"error":"Слишком много попыток. Попробуйте через 15 минут."}`	Больше 30 запросов с одного адреса за 15 минут.	—

GET/auth/profile

Профиль

Данные покупателя и его бонусный счёт.

Доступ:Сессия сотрудника

Заодно самый простой способ понять при загрузке страницы, вошёл человек или нет: 200 — вошёл, 401 — нет.

Поля ответа

Поле	Тип	Описание
`id`	int	Идентификатор покупателя.
`email`	string	Почта.
`lastName`	string	Фамилия.
`firstName`	string	Имя.
`middleName`	string	Отчество.
`phone`	string	Телефон.
`telegram`	string	Имя в Telegram, если привязан.
`avatarUrl`	string	Ссылка на аватар.
`emailVerified`	boolean	Подтверждена ли почта.
`agreedToMarketing`	boolean	Согласие на рассылку.
`bonusBalance`	int	Бонусный счёт.бонусы, 1 бонус = 1 рубль
`createdAt`	string	Когда зарегистрирован.
`updatedAt`	string	Когда профиль правили в последний раз.
`telegramId`	string \| null	ID Telegram-аккаунта, если привязан.
`mustChangePassword`	boolean	Платформа выдала временный пароль — покупателя нужно подвести к смене.
`roles`	string[]	Роли покупателя. Для обычного покупателя — ["customer"].
`permissions`	string[]	Права, если это сотрудник, а не покупатель.
`allBrands`	boolean	Доступ ко всем брендам платформы — только для персонала.
`brandIds`	number[]	Идентификаторы брендов, к которым привязан аккаунт.
`brandCodes`	string[]	Коды тех же брендов.
`hasSiteAccess`	boolean	Доступ к админке площадки — только для персонала.

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
401	`{"error":"Unauthorized"}`	Не вошёл или сессия истекла.	Попробуйте /auth/refresh, затем повторите.

PUT/auth/profile

Изменить профиль

Правит имя, телефон и согласие на рассылку.

Доступ:Сессия сотрудника

Тело запроса

Параметр	Тип	Обязателен	Описание
`lastName`	string	нет	Фамилия.
`firstName`	string	нет	Имя.
`middleName`	string	нет	Отчество.
`phone`	string	нет	Телефон.
`telegram`	string	нет	Имя в Telegram — правится и отдельно от привязки аккаунта.
`agreedToMarketing`	boolean	нет	Согласие на рассылку.

ответ

{
  "id": 4821,
  "email": "kupil@example.com",
  "lastName": "Иванов",
  "firstName": "Иван",
  "middleName": null,
  "phone": "+79990000000",
  "telegram": null,
  "telegramId": null,
  "avatarUrl": null,
  "agreedToMarketing": false,
  "emailVerified": true,
  "bonusBalance": 0,
  "updatedAt": "2026-09-02T11:00:00.000Z"
}

GET/auth/addresses

Адреса доставки

Сохранённые адреса покупателя.

Доступ:Сессия сотрудника

Поля ответа

Поле	Тип	Описание
`id`	int	Идентификатор адреса.
`type`	string	pvz — пункт выдачи, home — курьером.
`tag`	string	Как покупатель назвал адрес: «Дом», «Работа».
`city`	string	Город.
`cityCode`	int	Код города у перевозчика.
`street`	string	Улица.
`house`	string	Дом.
`apartment`	string	Квартира.
`entrance`	string	Подъезд.
`floor`	string	Этаж.
`intercom`	string	Домофон.
`postalCode`	string	Индекс.
`pvzCode`	string	Код пункта выдачи.
`pvzAddress`	string	Адрес пункта выдачи.
`country`	string	Страна. По умолчанию «Россия».
`isDefault`	boolean	Подставлять по умолчанию.
`userId`	int	Идентификатор владельца адреса.
`createdAt`	string	Когда адрес добавлен, ISO-дата.
`updatedAt`	string	Когда адрес правили в последний раз, ISO-дата.

POST/auth/addresses

Добавить адрес

Сохраняет адрес в кабинете.

Доступ:Сессия сотрудника

Тело запроса

Параметр	Тип	Обязателен	Описание
`type`	pvz \| home	да	Пункт выдачи или курьер.
`city`	string	да	Город.
`cityCode`	int	нет	Код города у перевозчика — берите из /orders/cities.
`tag`	string	нет	Название адреса.
`street`	string	нет	Улица (для курьера).
`house`	string	нет	Дом.
`apartment`	string	нет	Квартира.
`entrance`	string	нет	Подъезд.
`floor`	string	нет	Этаж.
`intercom`	string	нет	Домофон.
`postalCode`	string	нет	Индекс.
`pvzCode`	string	нет	Код пункта выдачи — из /orders/pvzs/{cityCode}.
`pvzAddress`	string	нет	Адрес пункта выдачи.
`country`	string	нет	Страна. По умолчанию «Россия», если не передать.
`isDefault`	boolean	нет	Сделать основным.

ответ

{
  "id": 33,
  "userId": 4821,
  "type": "home",
  "tag": "Дом",
  "city": "Москва",
  "cityCode": 44,
  "street": "Ленина",
  "house": "1",
  "apartment": "5",
  "entrance": "2",
  "floor": "3",
  "intercom": "1234",
  "postalCode": "101000",
  "pvzCode": null,
  "pvzAddress": null,
  "country": "Россия",
  "isDefault": true,
  "createdAt": "2026-09-01T10:00:00.000Z",
  "updatedAt": "2026-09-01T10:00:00.000Z"
}

PUT/auth/addresses/{id}

Изменить адрес

Правит сохранённый адрес.

Доступ:Сессия сотрудника

Параметры пути

Параметр	Тип	Обязателен	Описание
`id`	int	да	Идентификатор адреса.

Тело запроса

Параметр	Тип	Обязателен	Описание
`type`	pvz \| home	нет	Пункт выдачи или курьер.
`city`	string	нет	Город.
`cityCode`	int	нет	Код города у перевозчика.
`tag`	string	нет	Название адреса.
`street`	string	нет	Улица (для курьера).
`house`	string	нет	Дом.
`apartment`	string	нет	Квартира.
`entrance`	string	нет	Подъезд.
`floor`	string	нет	Этаж.
`intercom`	string	нет	Домофон.
`postalCode`	string	нет	Индекс.
`pvzCode`	string	нет	Код пункта выдачи.
`pvzAddress`	string	нет	Адрес пункта выдачи.
`country`	string	нет	Страна.
`isDefault`	boolean	нет	Сделать основным.

ответ

{
  "id": 33,
  "userId": 4821,
  "type": "home",
  "tag": "Дом",
  "city": "Москва",
  "cityCode": 44,
  "street": "Ленина",
  "house": "1",
  "apartment": "5",
  "entrance": "2",
  "floor": "3",
  "intercom": "1234",
  "postalCode": "101000",
  "pvzCode": null,
  "pvzAddress": null,
  "country": "Россия",
  "isDefault": true,
  "createdAt": "2026-09-01T10:00:00.000Z",
  "updatedAt": "2026-09-01T11:00:00.000Z"
}

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
404	`{"error":"Address not found"}`	Адреса нет или он принадлежит другому покупателю. Сообщение на английском — так отвечает контроллер, не переведено.	—

DELETE/auth/addresses/{id}

Удалить адрес

Убирает адрес из кабинета.

Доступ:Сессия сотрудника

Параметры пути

Параметр	Тип	Обязателен	Описание
`id`	int	да	Идентификатор адреса.

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
500	`{"error":"Internal server error"}`	Адреса нет или он чужой. Баг бэкенда — по коду это неотличимо от настоящего сбоя сервера, см. notes.	—

GET/auth/sessions

Устройства

Где сейчас выполнен вход.

Доступ:Сессия сотрудника

ответ

{
  "sessions": [
    {
      "id": "sess_a1b2c3",
      "deviceName": "Chrome, Windows",
      "ipAddress": "1.2.3.4",
      "userAgent": "Mozilla/5.0 ...",
      "isCurrent": true,
      "createdAt": "2026-08-01T10:00:00.000Z",
      "lastSeenAt": "2026-09-02T09:00:00.000Z",
      "expiresAt": "2026-09-30T10:00:00.000Z"
    }
  ],
  "currentSessionId": "sess_a1b2c3"
}

DELETE/auth/sessions/{id}

Отключить устройство

Гасит одну сессию.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Параметры пути

Параметр	Тип	Обязателен	Описание
`id`	string	да	Идентификатор сессии.

Ошибки

Код	Ответ сервера	Когда возникает	Что делать
404	`{"error":"Сессия не найдена"}`	Сессии нет или она принадлежит другому покупателю.	—

POST/auth/sessions/revoke-all

Выйти на всех устройствах

Гасит все сессии, кроме текущей.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Тело запроса

Параметр	Тип	Обязателен	Описание
`exceptCurrent`	boolean	нетпо умолчанию true	Оставить текущую сессию живой. false гасит вообще все, включая ту, из которой пришёл запрос.

ответ

{"revokedCount":3}

POST/auth/telegram-link/start

Привязать Telegram

Выдаёт ссылку на бота для привязки.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

Поля ответа

Поле	Тип	Описание
`startParam`	string	Параметр для ссылки вида t.me/бот?start=…
`token`	string	Тот же ключ отдельно.

POST/auth/telegram-unlink

Отвязать Telegram

Убирает привязку.

Доступ:Сессия сотрудника

Заголовки

Параметр	Тип	Обязателен	Описание
`X-CSRF-Token`	string	да	Ключ из /auth/csrf.

ответ

{"ok":true}

Рядом: корзина и оформление — путь покупателя до оплаты, который проходится и без входа.