E-posta ve parola değişiklikleri¶

Bir hesabın e-posta adresini veya parolasını değiştirmek birkaç adım sürer. TEBHOS bir bilet açar, bir doğrulama kodunu e-postayla gönderir ve sonraki her adım bu bileti o ana kadar toplanan kodlar ve kanıtlarla birlikte gönderir. Adresi posta sağlayıcısı tarafından reddedilmiş bir hesap bunun yerine geri dönen e-posta kurtarma akışını kullanır.

Bu sayfadaki tüm yollar yalnızca kullanıcıya yöneliktir. Kullanıcı oturumu token'ı (Authorization: Bearer <token>) gerektirirler. Geçerli bir Bot <token> kimlik bilgisi 403 ACCESS_DENIED ile reddedilir.

Sıradan e-posta değişikliği ve parola değişikliği /auth altında bulunur. Geri dönen e-posta kurtarma /users/@me/email-change/bounced altında bulunur. TEBHOS web istemcisinin kullandığı yollar bunlardır.

Bilet ve kod sözleşmesi¶

Bilet tanımlayıcısı, 4. sürüm bir UUID'dir. TEBHOS onu akış başladığında üretir ve sonraki her adım onu düz bir dize olarak geri gönderir. Bilet, onu açan hesaba aittir. Başka bir hesaba ait, bilinmeyen veya süresi dolmuş bir bilet 400 BAD_REQUEST ile başarısız olur. Akışı yeniden başlatmak yeni bir bilet üretir ve önceki bileti süresi dolana kadar kullanılabilir bırakır.

Doğrulama kodu, büyük harf Latin alfabesinden ve ondalık rakamlardan oluşan sekiz karakterdir; kısa çizgiyle ayrılmış dörder karakterlik iki grup olarak yazılır, örneğin 7KQ2-M9XD. Her kod gönderildiği andan itibaren 10 dakika geçerlidir ve her yeniden gönderim önceki kodun yerine geçer. TEBHOS gönderilen kodun başındaki ve sonundaki boşlukları kırpar ve kalanı birebir karşılaştırır.

Kanıt, TEBHOS'un bilet hakkında bir olguyu doğrulayan her adımdan döndürdüğü 4. sürüm bir UUID'dir. E-posta değişikliği akışı özgün adres için original_proof üretir ve bunu Yeni e-posta iste ile E-posta değişikliğini tamamla adımlarında ister. Parola değişikliği akışı e-postayla gönderilen kod için verification_proof üretir ve bunu Parola değişikliğini tamamla adımında ister. Bir kanıt 10 dakika geçerlidir. Aynı kodu yeniden doğrulamak yeni bir kanıt üretir ve öncekini geçersiz kılar.

TEBHOS, aynı kodun önceki gönderiminden sonraki 30 saniye boyunca yeniden gönderimi reddeder. Ret, bir sonraki gönderime izin verilene kadar kalan saniyeleri sayan bir Retry-After başlığıyla birlikte HTTP 429 RATE_LIMITED şeklindedir. Bu bekleme süresi, yol kovalarından ve aşağıdaki e-posta gönderim denetimlerinden ayrıdır.

Hatalar¶

TEBHOS bu akışlardaki hataları genel amaçlı kodlarla bildirir. message alanı insan tarafından okunabilir Türkçe bir cümledir; bu yüzden dallanmayı mesaj metnine göre değil, her zaman HTTP durumuna ve code değerine göre yapın.

E-posta gönderim denetimleri¶

E-posta gönderen her işlem kendi yol kovasından ve bundan ayrı olarak hesabın 15 dakikalık e-posta gönderim denetiminden düşülür. Herhangi birinin tükenmesi, diğerinde yer olsa bile HTTP 429 üretir.

E-posta değişikliği akışı¶

E-posta değişikliği en fazla dört adım sürer.

Özgün adres doğrulaması yalnızca hesapta doğrulanmış bir e-posta adresi varsa uygulanır. Diğer tüm hesaplar için E-posta değişikliğini başlat doğrudan original_proof döndürür ve istemci 2. adımı atlar.

E-posta değişikliği başlatma nesnesi¶

Yeni oluşturulmuş bir e-posta değişikliği biletinin durumu.

Yapı¶

Örnek¶

{
  "ticket": "6f1a4c9e-3d52-4a77-9b0e-2c8f5d41ab30",
  "require_original": true,
  "original_email": "[email protected]",
  "original_proof": null,
  "original_code_expires_at": "2026-03-04T18:10:00+00:00",
  "resend_available_at": "2026-03-04T18:00:30+00:00"
}

Yeni e-posta isteği nesnesi¶

Yeni bir adresin bağlandığı ve o adrese bir kod gönderilmiş bir biletin durumu.

Yapı¶

Özgün e-posta doğrulama nesnesi¶

Yapı¶

E-posta değişikliği tamamlama nesnesi¶

Yapı¶

Parola değişikliği başlatma nesnesi¶

Yeni oluşturulmuş bir parola değişikliği biletinin durumu.

Yapı¶

Parola doğrulama nesnesi¶

Yapı¶

Parola değişikliği tamamlama nesnesi¶

Parola değişikliğini tamamla adımının parola yazıldıktan sonra döndürdüğü yeni oturum.

Yapı¶

E-posta değişikliğini başlat¶

POST /auth/email-change/start

Bir e-posta değişikliği bileti oluşturur. Başarılı olursa bir e-posta değişikliği başlatma nesnesi döndürür.

Hesapta doğrulanmış bir e-posta adresi varsa TEBHOS bileti özgün-adres-bekleniyor aşamasında oluşturur ve o adrese bir doğrulama kodu gönderir. Aksi hâlde bileti original_proof önceden üretilmiş olarak oluşturur ve hiçbir şey göndermez.

JSON gövdesi¶

Boş bir nesne ({}) gönderin. TEBHOS hiçbir alanı okumaz.

Yanıt¶

Hız sınırı¶

Kod gönderildiğinde, user:email_change:start kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı özgün adres denetimi. Özgün aşamayı atlayan bir bilete hız sınırı uygulanmaz.

Özgün e-posta kodunu yeniden gönder¶

POST /auth/email-change/resend-original

Hâlâ özgün-adres-bekleniyor aşamasındaki bir bilet için hesabın mevcut adresine yeni bir doğrulama kodu gönderir. Boş gövdeyle 204 döndürür.

Özgün aşamayı atlamış bir biletin özgün kodu yoktur; bu yüzden bu işlem böyle bir bilette 400 BAD_REQUEST ile başarısız olur.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:email_change:resend_original kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı özgün adres denetimi ve 30 saniyelik bekleme süresi.

Özgün e-postayı doğrula¶

POST /auth/email-change/verify-original

Mevcut adrese gönderilen kodu denetler. Başarılı olursa bir özgün e-posta doğrulama nesnesi döndürür.

Kod süresi dolana kadar geçerli kalır; bu yüzden yeniden doğrulamak başarılı olur ve öncekinin yerine geçen yeni bir kanıt üretir.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:email_change:verify_original kovasında kimliği doğrulanmış her kullanıcı için dakikada 20 istek.

Yeni e-posta iste¶

POST /auth/email-change/request-new

Bilete yeni bir adres bağlar ve o adrese bir doğrulama kodu gönderir. Başarılı olursa bir yeni e-posta isteği nesnesi döndürür.

TEBHOS adresi kırpar ve küçük harfe çevirir, ardından sırayla denetler:

• @ içermeyen, 6 karakterden kısa veya 254 karakterden uzun bir adres 400 INVALID_FORM_BODY ile başarısız olur.
• Herhangi bir hesabın zaten sahip olduğu bir adres, çağıranın kendi mevcut adresi dahil, 409 CONFLICT ile başarısız olur.

İstek adresi rezerve etmez. Sahiplik E-posta değişikliğini tamamla adımında yeniden denetlenir. Bu işlemi farklı bir adresle yeniden çağırmak, 30 saniyelik bekleme süresine tabi olarak aynı bilet üzerindeki bekleyen adresin yerine geçer.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:email_change:request_new kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı yeni adres denetimi ve 30 saniyelik bekleme süresi.

Yeni e-posta kodunu yeniden gönder¶

POST /auth/email-change/resend-new

Bilete zaten bağlı olan adrese yeni bir doğrulama kodu gönderir. Boş gövdeyle 204 döndürür.

Adres istenmemiş bir bilet 400 BAD_REQUEST ile başarısız olur.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:email_change:resend_new kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı yeni adres denetimi ve 30 saniyelik bekleme süresi.

E-posta değişikliğini tamamla¶

POST /auth/email-change/complete

Yeni adrese gönderilen kodu denetler ve aynı çağrıda o adresi hesaba yazar. Başarılı olursa bir e-posta değişikliği tamamlama nesnesi döndürür. Çağıranın oturumlarına bir User Update Gateway olayı yayınlar.

Sudo kipi gerekmez. E-postayla gönderilen iki kod, iki adresin de denetimde olduğunun kanıtıdır.

TEBHOS yeni adresin sahipliğini yeniden denetler; bu yüzden Yeni e-posta iste adımından bu yana başka bir hesabın aldığı bir adres 409 CONFLICT ile başarısız olur.

JSON gövdesi¶

Yanıt¶

Yan etkiler¶

Hesabın e-postası değiştirilir ve önceki adres diğer hesaplar için serbest bırakılır. E-postanın doğrulanmış durumu olduğu gibi bırakılır. TEBHOS değişikliği hesabın iletişim değişikliği kaydına yazar ve bileti siler; bu yüzden ikinci bir çağrı 400 BAD_REQUEST ile başarısız olur.

Bu yolda hiçbir kimlik bilgisi iptal edilmez; oturumlar ve OAuth2 token'ları geçerli kalır. Önceki adrese bildirim gönderilmez.

Hız sınırı¶

user:email_change:apply kovasında kimliği doğrulanmış her kullanıcı için dakikada 20 istek.

Örnek¶

curl -X POST https://tebhos.com/api/v1/auth/email-change/complete \
  -H "Authorization: Bearer $TEBHOS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "ticket": "6f1a4c9e-3d52-4a77-9b0e-2c8f5d41ab30",
    "original_proof": "0b7e2c41-58a9-4d0f-9c3e-7a1d64f2e5b8",
    "code": "7KQ2-M9XD"
  }'

Geri dönen e-posta kurtarma¶

Saklanan adresi posta sağlayıcısı tarafından reddedilmiş bir hesabın kullanıcı nesnesinde email_bounced ayarlıdır. Aşağıdaki işlemler bir yedek adres bağlar ve onu özgün adres aşaması olmadan yazar.

Bunların her biri geri dönme işaretini gerektirir. Bu işarete sahip olmayan bir hesap 403 FORBIDDEN ile reddedilir; hiç adresi olmayan bir hesap ise 400 INVALID_FORM_BODY ile başarısız olur.

Akış ayrıca saklanan adresin doğrulanmış olarak işaretlenmemiş olmasını gerektirir. İşaretliyse Geri dönen adres için yedek e-posta iste 400 BAD_REQUEST ile başarısız olur ve bu hesap adresini bunun yerine sıradan e-posta değişikliği akışıyla değiştirir.

Kodlar ve 30 saniyelik bekleme süresi bilet ve kod sözleşmesine uyar.

Geri dönen adres için yedek e-posta iste¶

POST /users/@me/email-change/bounced/request-new

Bir kurtarma bileti oluşturur ve aynı çağrıda yedek adresi bağlar. Başarılı olursa bir yeni e-posta isteği nesnesi döndürür.

TEBHOS adresi kırpar ve sırayla denetler:

• Boş bir adres 400 INVALID_FORM_BODY ile başarısız olur.
• Büyük/küçük harf farkı gözetilmeden geri dönen adrese eşit bir adres 400 INVALID_FORM_BODY ile başarısız olur.
• @ içermeyen, 6 karakterden kısa veya 254 karakterden uzun bir adres 400 INVALID_FORM_BODY ile başarısız olur.
• Başka bir hesabın sahip olduğu bir adres 409 CONFLICT ile başarısız olur.

JSON gövdesi¶

Yanıt¶

Döndürülen ticket değerini saklayın; kalan adımlar başka bir tanımlayıcı almaz.

Hız sınırı¶

user:email_change:bounced:request_new kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı geri dönen e-posta kurtarma denetimi.

Yedek e-posta kodunu yeniden gönder¶

POST /users/@me/email-change/bounced/resend-new

Bir kurtarma biletine bağlı yedek adrese yeni bir doğrulama kodu gönderir. Boş gövdeyle 204 döndürür.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:email_change:bounced:resend_new kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı geri dönen e-posta kurtarma denetimi ve 30 saniyelik bekleme süresi.

Geri dönen adres için yedek e-postayı doğrula¶

POST /users/@me/email-change/bounced/verify-new

Kodu denetler ve aynı çağrıda yedek adresi hesaba yazar. Başarılı olursa güncellenmiş kullanıcı nesnesini döndürür. Bir User Update Gateway olayı yayınlar.

Sudo doğrulaması uygulanmaz.

JSON gövdesi¶

Yanıt¶

Yan etkiler¶

Hesap, doğrulanmış olarak işaretlenmiş yedek adresi alır; email_bounced false olur ve doğrulanmış bir e-postanın karşıladığı şüpheli etkinlik gereksinimleri required_actions listesinden temizlenir. Bilet tamamlanır ve yeniden kullanılamaz. Değişiklik iletişim değişikliği kaydına yazılır. Geri dönen adrese bildirim gönderilmez.

Hız sınırı¶

user:email_change:bounced:verify_new kovasında kimliği doğrulanmış her kullanıcı için dakikada 20 istek.

Parola değişikliğini başlat¶

POST /auth/password-change/start

Bir parola değişikliği bileti oluşturur ve hesabın e-posta adresine bir doğrulama kodu gönderir. Başarılı olursa bir parola değişikliği başlatma nesnesi döndürür.

JSON gövdesi¶

Boş bir nesne ({}) gönderin. TEBHOS hiçbir alanı okumaz.

Yanıt¶

Hız sınırı¶

user:password_change:start kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı parola değişikliği başlatma denetimi.

Parola değişikliği kodunu yeniden gönder¶

POST /auth/password-change/resend

Etkin bir parola değişikliği bileti için yeni bir doğrulama kodu gönderir. Boş gövdeyle 204 döndürür.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:password_change:resend kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek, artı parola değişikliği yeniden gönderim denetimi ve 30 saniyelik bekleme süresi.

Parola değişikliği kodunu doğrula¶

POST /auth/password-change/verify

E-postayla gönderilen kodu denetler. Başarılı olursa bir parola doğrulama nesnesi döndürür. Hesabın parolası hâlâ değişmemiştir.

JSON gövdesi¶

Yanıt¶

Hız sınırı¶

user:password_change:verify kovasında kimliği doğrulanmış her kullanıcı için dakikada 20 istek.

Parola değişikliğini tamamla¶

POST /auth/password-change/complete

Hesabın parolasını ve çağıranın oturumunu değiştirir. Başarılı olursa bir parola değişikliği tamamlama nesnesi döndürür.

Sudo doğrulaması uygulanmaz. verification_proof ile kanıtlanan, e-postayla gönderilmiş kod yetkilendirmenin kendisidir.

JSON gövdesi¶

Yanıt¶

Yan etkiler¶

Parola değiştirilir; bilet, kanıtı ve bekleme süresi silinir. TEBHOS kullanıcıya bir Auth Session Change Gateway olayı gönderir; böylece açık diğer istemciler oturumun kapatıldığını fark eder. OAuth2 erişim token'ları ve yenileme token'ları geçerli kalır.

Hız sınırı¶

user:password_change:complete kovasında kimliği doğrulanmış her kullanıcı için dakikada 10 istek.

Örnek¶

const base = "https://tebhos.com/api/v1";
const headers = {
  Authorization: `Bearer ${token}`,
  "Content-Type": "application/json",
};

const start = await fetch(`${base}/auth/password-change/start`, {
  method: "POST", headers, body: "{}",
}).then((r) => r.json());

// The user reads the code from their inbox.
const { verification_proof } = await fetch(`${base}/auth/password-change/verify`, {
  method: "POST", headers,
  body: JSON.stringify({ ticket: start.ticket, code: codeFromEmail.trim().toUpperCase() }),
}).then((r) => r.json());

const done = await fetch(`${base}/auth/password-change/complete`, {
  method: "POST", headers,
  body: JSON.stringify({ ticket: start.ticket, verification_proof, new_password: newPassword }),
}).then((r) => r.json());

token = done.token; // the old token no longer works

import requests

base = "https://tebhos.com/api/v1"
s = requests.Session()
s.headers["Authorization"] = f"Bearer {token}"

start = s.post(f"{base}/auth/password-change/start", json={}).json()

# The user reads the code from their inbox.
proof = s.post(
    f"{base}/auth/password-change/verify",
    json={"ticket": start["ticket"], "code": code_from_email.strip().upper()},
).json()["verification_proof"]

done = s.post(
    f"{base}/auth/password-change/complete",
    json={"ticket": start["ticket"], "verification_proof": proof, "new_password": new_password},
).json()

token = done["token"]  # the old token no longer works