API

SDK はこの API を包んだものです。直接呼び出すこともできます。すべてのフィールドを含む完全なリファレンス：API リファレンス（openapi-v1.json から生成、英語）。

アドレス	https://api.glow-kin.com
認証	すべてのリクエストに Authorization: Bearer tnk_…（アプリケーションの API キー）
形式	UTF-8 の JSON。時刻は UTC の ISO 8601、ID は UUID
エラー	安定した code つきの RFC 9457 Problem Details（application/problem+json）（エラー）
制限	リクエストの本文は 64 KB まで。ユーザーごとに：承認の要求とメールは15分間で5回、1回のログインでコードの間違いは5回、続けて10回間違えると15分間ロック
バージョン	/v1 の変更は追加だけです（新しいフィールド、呼び出し、値）。SDK と同じく、知らないものは無視してください

呼び出し

呼び出し	内容
POST /v1/users	ユーザーを作る（同じ externalId なら既存のユーザー）
GET /v1/users?externalId=	作らずに探す
GET、PATCH、DELETE /v1/users/{id}	取得、名前の変更、削除
GET /v1/methods	組織で使える方法
GET、POST /v1/users/{id}/factors	方法の一覧、設定の開始（TOTP、PUSH、EMAIL）
POST …/factors/{factorId}/activate	最初のコードで設定を完了
DELETE …/factors/{factorId}	削除
POST /v1/challenges	ログインの2段階目を開始
GET /v1/challenges/{id}	状態（承認待ちは2秒ごとに確認）
POST …/{id}/verify	コードを確認
POST …/{id}/recover	リカバリーコードまたはアクセスパスで通過
POST、GET /v1/users/{id}/recovery-codes	新しいリカバリーコード、残りの数
POST /v1/users/{id}/access-passes	ヘルプデスクが発行する1回限りのパス
POST /v1/users/{id}/trusted-devices、…/check	ブラウザーを記憶、そのトークンを確認

SDK を使わずに呼ぶ

curl -sS https://api.glow-kin.com/v1/users \
  -H "Authorization: Bearer $TENON_AUTH_API_KEY" -H 'Content-Type: application/json' \
  -d '{"externalId":"account-42","displayName":"山田 太郎"}'

独自のクライアントを書くときは：

• リダイレクトをたどらないでください。 キーが別の場所に送られます。
• タイムアウトした POST を送り直さないでください。 verify と recover は回数を数え、新しいチャレンジは前のチャレンジを終わらせます。
• JSON でない応答（プロキシの HTML ページなど）は、利用不可として扱ってください。