Аутентификация

Административный API Axottle использует токены сессии. Вы входите с логином и паролем администратора, получаете токен и передаёте его в каждом последующем запросе.

Для кого: разработчик и администратор. Требуемые права: учётная запись администратора панели.

Два способа передать сессию

Способ	Для чего	Как передаётся
`Authorization: Bearer <token>`	CLI, скрипты, интеграции	Заголовок запроса
Cookie сессии	Браузер (панель и портал)	`HttpOnly` cookie, ставится автоматически при входе

Оба способа равноправны. Для интеграций используйте Bearer — он не зависит от cookie и не подпадает под браузерные проверки.

Запросы с cookie, изменяющие данные (POST, PUT, PATCH, DELETE), проходят проверку источника: заголовок Origin или Referer должен совпадать с адресом панели. Запросы с Authorization: Bearer эту проверку не проходят и не ломаются из-за неё.

Вход и получение токена

Отправьте логин и пароль на метод входа:

curl -s https://panel.example.com/api/v1/auth/login \
  -H "Content-Type: application/json" \
  -d '{"username":"admin","password":"<пароль>"}'

В ответе возвращается токен сессии. Сохраните его — он потребуется для всех защищённых методов. Браузеру в этом же ответе выдаётся cookie сессии.

Если у учётной записи включена 2FA, первый запрос вернёт 401 с кодом TOTP_REQUIRED. Повторите запрос, добавив в тело поле totp_code.

Учётная запись без пароля (вход только через Telegram) через этот метод войти не может — для неё используется вход через Telegram в браузере, см. Вход через Telegram.

Никогда не передавайте пароль или токен в URL или query-параметрах и не сохраняйте их в общих логах. Передавайте секреты только в теле запроса или заголовке Authorization.

Использование токена

Передавайте токен в заголовке Authorization:

curl -s https://panel.example.com/api/v1/system/status \
  -H "Authorization: Bearer <session-token>"

Проверить текущую сессию можно методом «кто я»:

curl -s https://panel.example.com/api/v1/auth/me \
  -H "Authorization: Bearer <session-token>"

Завершение сессии

curl -s https://panel.example.com/api/v1/auth/logout \
  -H "Authorization: Bearer <session-token>"

После выхода токен становится недействительным.

Ошибки аутентификации

Статус	Причина	Что делать
`401`	Токен отсутствует, недействителен или сессия истекла	Войдите заново и получите новый токен
`403`	Недостаточно прав или ограничение лицензии	Проверьте статус лицензии и права учётной записи

Сброс пароля администратора

Если доступ к панели утерян, пароль сбрасывается из командной строки на сервере (действие требует прав на сервере и записывается в аудит):

axottle admin reset-password

Подробнее — CLI.

Проверка

Запрос к GET /api/v1/auth/me с вашим токеном возвращает данные текущего администратора и статус 200.

Откат

Токены отзываются выходом (logout) или сбросом пароля учётной записи, после которого прежние сессии перестают действовать.

Проверено для версии Axottle текущей ветки. Дата проверки: 2026-07-11.

​Два способа передать сессию

​Вход и получение токена

​Использование токена

​Завершение сессии

​Ошибки аутентификации

​Сброс пароля администратора

​Проверка

​Откат

Два способа передать сессию

Вход и получение токена

Использование токена

Завершение сессии

Ошибки аутентификации

Сброс пароля администратора

Проверка

Откат