Autenticazione

JWT per il pannello e API key per le integrazioni.

MailingCore usa due meccanismi a seconda di chi chiama l'API.

API key (integrazioni)

Per inviare email, gestire contatti, campagne o webhook dalla tua applicazione:

Authorization: Bearer mc_live_xxxxxxxx
X-Tenant-Id: clxxxxxxxx
Content-Type: application/json

Prefisso	Ambiente
`mc_live_`	Produzione
`mc_test_`	Test

La key deve includere lo scope richiesto dall'endpoint (ad esempio email:send per POST /emails/send).

JWT (pannello e sessione umana)

Il dashboard autentica gli admin con email e password:

POST /auth/login

Risposta: accessToken (15 min) + refreshToken (30 giorni). Le richieste del pannello inviano:

Authorization: Bearer <accessToken>
X-Tenant-Id: <tenantId>

Endpoint come template, domini, analytics e fatturazione richiedono JWT, non API key.

2FA (opzionale)

Gli admin possono attivare TOTP (POST /auth/2fa/enable). Se attivo, il login restituisce una sfida e devi completare con POST /auth/login/verify-2fa.

Errori di autenticazione

Codice	Causa frequente
401	Token scaduto, API key non valida o revocata
403	Scope insufficiente o tenant non autorizzato

Vedi Codici di errore.