प्रमाणीकरण और Scopes

मशीन प्रमाणीकरण Flare chain-14 पर एक EIP-4361 SIWE Challenge का उपयोग करता है। लौटाए गए संदेश को अपने वॉलेट से ठीक वैसे ही साइन करें (EIP-191 personal_sign)। Nonce एक बार उपयोग योग्य है, वॉलेट से बँधा है और पाँच मिनट बाद समाप्त हो जाता है। केवल वही अनुमतियाँ माँगें जिनकी आपके क्लाइंट को आवश्यकता है। उदाहरण write और spend माँगता है क्योंकि आगे के टॉपअप और सब्सक्रिप्शन उदाहरण दोनों का उपयोग करते हैं; read हमेशा शामिल रहता है।

curl -X POST 'https://ftso.app/api/x402/auth/challenge' \
  -H 'content-type: application/json' \
  -d '{"wallet":"0xYOUR_WALLET","scopes":["write","spend"],"label":"My agent"}'

प्रतिक्रिया में wallet, nonce, issuedAt और message होते हैं। message को व्हाइटस्पेस सहित ठीक वैसे ही सुरक्षित रखें। viem में account.signMessage({ message }) का उपयोग करें। Scopes साइन की गई सहमति का हिस्सा हैं; label केवल सजावटी मेटाडेटा है, अधिकतम 40 अक्षर। संदेश को Nonce से पुनर्निर्मित न करें।

curl -X POST 'https://ftso.app/api/x402/auth/token' \
  -H 'content-type: application/json' \
  -d '{"message":"EXACT_RETURNED_SIWE_MESSAGE","signature":"0xSIGNATURE"}'
# Response: { token: "fbx_...", wallet, scopes, expiresAt }

token को सुरक्षित रूप से संग्रहीत करें और आगे की कॉल में Authorization: Bearer fbx_… भेजें। इसे क्वेरी स्ट्रिंग, साझा लॉग या उदाहरणों में न रखें। टोकन विनिमय no-store है। EOA सिग्नेचर स्थानीय रूप से सत्यापित होते हैं; कॉन्ट्रैक्ट-वॉलेट सत्यापन कॉन्फ़िगर किए गए सर्वर RPC पर निर्भर करता है और सत्यापन विफल होने पर प्रमाणीकरण अस्वीकार करता है।

• read: पठन और संदेश पूर्वावलोकन; यदि enforcement सक्षम है तो भुगतान वाला डेटा एक्सेस भी शामिल है।
• write: परिवर्तन, प्राप्तकर्ता परीक्षण, टॉपअप ड्राफ्ट और पुष्टि, शर्तों की स्वीकृति, ट्रायल और Auto-Renew बंद करना।
• spend: सब्सक्रिप्शन क्षमता खरीदना और Auto-Renew चालू करना।
• read हमेशा दिया जाता है, write या spend के साथ भी। एक write टोकन उसी वॉलेट के किसी भी टोकन को रद्द कर सकता है।

curl 'https://ftso.app/api/x402/auth/tokens' -H 'authorization: Bearer fbx_TOKEN'
curl -X DELETE 'https://ftso.app/api/x402/auth/tokens/42' \
  -H 'authorization: Bearer fbx_WRITE_TOKEN'

एक वॉलेट के अधिकतम दस सक्रिय टोकन हो सकते हैं। सूची अधिकतम 50 मेटाडेटा प्रविष्टियाँ लौटाती है, सक्रिय पहले; यह कभी भी secrets या hashes नहीं लौटाती। रद्दीकरण अगले प्रमाणित अनुरोध पर प्रभावी होता है। अन्य वॉलेट की IDs पर 404 मिलता है। ब्राउज़र में टोकन Wallet-Center Settings → Security में प्रबंधित किए जा सकते हैं। MCP अपना स्वयं का OAuth प्रवाह उपयोग करता है; एक x402 Bearer-Token MCP एक्सेस टोकन नहीं है।

• Bearer-Token की अवधि सेकंड में: 86400
• प्रति दिन अनाम फ्री-टियर कॉल (केवल enforce): 50