MetriBeacon
Menü
Deutsch

POST E-Mail-Nachweis im anfordernden Browser bestätigen

/api/v1/auth/entry/email/confirm

Akzeptiert genau eine Nachweisform: Link-Token oder challenge_id mit sechsstelligem Code. Nachweis und Ablauf sind browsergebunden und einmalig; höchstens fünf Fehlversuche sind erlaubt. Bestehende bestätigte E-Mail-Konten erhalten eine siebentägige Sitzung. Neue Konten wechseln zu consent_required; Anbieteridentitäten für ein bestehendes Konto zu link_confirmation_required ohne automatische Verknüpfung.

Auf dieser Seite

Zugriff und Rechte

Akzeptiert genau eine Nachweisform: Link-Token oder challenge_id mit sechsstelligem Code. Nachweis und Ablauf sind browsergebunden und einmalig; höchstens fünf Fehlversuche sind erlaubt. Bestehende bestätigte E-Mail-Konten erhalten eine siebentägige Sitzung. Neue Konten wechseln zu consent_required; Anbieteridentitäten für ein bestehendes Konto zu link_confirmation_required ohne automatische Verknüpfung.

Ursprünglicher Loginbrowser: Cookie __Host-mb_auth.

Parameter und Header

FeldPositionTyp und GrenzenErforderlichBedeutung
OriginHeaderstring; {"format":"uri"}JaDerselbe HTTPS-Origin wie die öffentliche Browserseite. Für Browseranmeldung und Anbieterstart erforderlich.

Anfragekörper

FeldTyp und GrenzenErforderlichBedeutung
$EntryProofJa—
$ (oneOf 1)object; {"additionalProperties":false}Nein—
$ (oneOf 1).tokenstring; {"maxLength":64,"minLength":64,"pattern":"^[0-9a-f]{64}$"}JaEinmaliges Token oder Zugangstoken für den dokumentierten Operationszweck. Als Geheimnis behandeln.
$ (oneOf 2)object; {"additionalProperties":false}Nein—
$ (oneOf 2).challenge_idstring; {"format":"uuid"}JaUUID der Challenge dieser Browser- oder Maschinenanfrage.
$ (oneOf 2).codestring; {"pattern":"^[0-9]{6}$"}Ja—

Antworten

HeaderTyp und GrenzenBedeutung
Cache-Controlstring; {"pattern":"(?:^|,\\s*)no-store(?:,|$)"}Private API-Antworten verbieten Speicherung. Öffentliche OAuth-Metadaten werden 300 Sekunden gecacht; Livestreams verbieten zusätzlich Transformation.
Content-Languagestring; {"enum":["en","de"]}Sprache lesbarer Antworttexte aus Accept-Language oder der dokumentierten Browserpräferenz. Technische Codes und Kennungen bleiben stabil.
Referrer-PolicyJSON; {"enum":["strict-origin-when-cross-origin","no-referrer"]}Standard-Referrerpolicy ist strict-origin-when-cross-origin. Anbieterloginantworten verwenden no-referrer zum Schutz der Loginparameter.
VarystringAntworten variieren nach Accept-Language; browsergerenderte Antworten können zusätzlich nach Präferenzcookie variieren.
X-Content-Type-OptionsJSON; {"const":"nosniff"}Der Browser muss den angegebenen Inhaltstyp verwenden.
X-Frame-OptionsJSON; {"const":"DENY"}Die Antwort darf nicht in einem Frame eingebettet werden.
X-Request-IDstringVom Server erzeugte Anfragekennung. Bei Fehlermeldungen mitgeben; eingehende Werte werden nicht als vertrauenswürdig übernommen.

application/json

FeldTyp und GrenzenErforderlichBedeutung
$EntryFlow | EntryAuthenticatedJa—
$ (anyOf 1)EntryFlowNein—
$ (anyOf 1).challenge_idstring; {"format":"uuid"}NeinUUID der Challenge dieser Browser- oder Maschinenanfrage.
$ (anyOf 1).emailstring; {"format":"email"}JaE-Mail-Adresse des Kontos oder Aktionsziels. Bestätigungsregeln hängen von der Operation ab.
$ (anyOf 1).email_verifiedbooleanJa—
$ (anyOf 1).expires_atstring; {"format":"date-time"}JaAblaufzeitpunkt. Ein erfolgreicher Aufruf verlängert diese Frist nur, wenn dies ausdrücklich dokumentiert ist.
$ (anyOf 1).mail_verifiedbooleanJa—
$ (anyOf 1).privacy_versionstringNeinSHA-256-Fassung des aktuell veröffentlichten Datenschutztextes.
$ (anyOf 1).providerstring; {"enum":["","google","github"]}JaKonfigurierter Identitätsanbieter. Verfügbarkeit muss vom Anbieterendpunkt gelesen werden.
$ (anyOf 1).resend_atstring; {"format":"date-time"}Nein—
$ (anyOf 1).return_tostringJaZulässiges lokales Ziel nach Anmeldung. Externe und unsichere Ziele werden abgewiesen.
$ (anyOf 1).statusstring; {"enum":["verification_required","consent_required","link_confirmation_required"]}Ja—
$ (anyOf 1).terms_versionstringNeinSHA-256-Fassung der aktuell veröffentlichten Nutzungsbedingungen. Rufen Sie den aktuellen Text vor Annahme ab.
$ (anyOf 2)EntryAuthenticatedNein—
$ (anyOf 2).account_idstring; {"format":"uuid"}JaUUID des besitzenden oder handelnden Kontos gemäß dieser Operation.
$ (anyOf 2).emailstring; {"format":"email"}JaE-Mail-Adresse des Kontos oder Aktionsziels. Bestätigungsregeln hängen von der Operation ab.
$ (anyOf 2).operatorbooleanJaOb das Konto die Adminrolle hat; dies umgeht weder Aktionscodes noch den Schutz des letzten Admins.
$ (anyOf 2).return_tostringJaZulässiges lokales Ziel nach Anmeldung. Externe und unsichere Ziele werden abgewiesen.
$ (anyOf 2).statusJSON; {"const":"authenticated"}Ja—
json
{
  "email": "demo@example.com",
  "email_verified": false,
  "expires_at": "2026-09-30T12:00:00Z",
  "mail_verified": false,
  "provider": "",
  "return_to": "demo",
  "status": "verification_required"
}
Stabile Fehlercodes
invalid_origin
HeaderTyp und GrenzenBedeutung
Cache-Controlstring; {"pattern":"(?:^|,\\s*)no-store(?:,|$)"}Private API-Antworten verbieten Speicherung. Öffentliche OAuth-Metadaten werden 300 Sekunden gecacht; Livestreams verbieten zusätzlich Transformation.
Content-Languagestring; {"enum":["en","de"]}Sprache lesbarer Antworttexte aus Accept-Language oder der dokumentierten Browserpräferenz. Technische Codes und Kennungen bleiben stabil.
Referrer-PolicyJSON; {"enum":["strict-origin-when-cross-origin","no-referrer"]}Standard-Referrerpolicy ist strict-origin-when-cross-origin. Anbieterloginantworten verwenden no-referrer zum Schutz der Loginparameter.
VarystringAntworten variieren nach Accept-Language; browsergerenderte Antworten können zusätzlich nach Präferenzcookie variieren.
X-Content-Type-OptionsJSON; {"const":"nosniff"}Der Browser muss den angegebenen Inhaltstyp verwenden.
X-Frame-OptionsJSON; {"const":"DENY"}Die Antwort darf nicht in einem Frame eingebettet werden.
X-Request-IDstringVom Server erzeugte Anfragekennung. Bei Fehlermeldungen mitgeben; eingehende Werte werden nicht als vertrauenswürdig übernommen.

application/problem+json

FeldTyp und GrenzenErforderlichBedeutung
$ProblemJa—
$.codestringJaStabiler maschinenlesbarer Fehlercode
$.detailstringJaKurze lokalisierte Erklärung ohne interne Fehlerdaten
$.instancestringJaEinmalige relative Kennung /api/v1/requests/{request_id}; keine abrufbare Ressource
$.messagestringJaVorübergehend für bestehende Clients gleich detail
$.message_keystringJaStabiler Übersetzungsschlüssel für einen Sprachwechsel der Anzeige ohne neue Anfrage
$.message_paramsobject; {"additionalProperties":true}JaBenannte, sicher ausgegebene Meldungsparameter; kein beliebiges HTML
$.request_idstring; {"pattern":"^[0-9a-f]{32}$"}JaVom Server erzeugte Diagnosekennung. Enthält kein Logintoken und keine Zugangsdaten.
$.statusinteger; {"maximum":599,"minimum":400}Ja—
$.titlestringJaLokalisierte HTTP-Statusbezeichnung
$.typestring; {"const":"about:blank"}Ja—
json
{
  "code": "demo",
  "detail": "Demo error detail; inspect the documented code.",
  "instance": "demo",
  "message": "Demo error detail; inspect the documented code.",
  "message_key": "errors.requestFailed",
  "message_params": {},
  "request_id": "00000000000000000000000000000000",
  "status": 403,
  "title": "Demo error",
  "type": "about:blank"
}
Stabile Fehlercodes
invalid_input
invalid_entry
invalid_code
HeaderTyp und GrenzenBedeutung
Cache-Controlstring; {"pattern":"(?:^|,\\s*)no-store(?:,|$)"}Private API-Antworten verbieten Speicherung. Öffentliche OAuth-Metadaten werden 300 Sekunden gecacht; Livestreams verbieten zusätzlich Transformation.
Content-Languagestring; {"enum":["en","de"]}Sprache lesbarer Antworttexte aus Accept-Language oder der dokumentierten Browserpräferenz. Technische Codes und Kennungen bleiben stabil.
Referrer-PolicyJSON; {"enum":["strict-origin-when-cross-origin","no-referrer"]}Standard-Referrerpolicy ist strict-origin-when-cross-origin. Anbieterloginantworten verwenden no-referrer zum Schutz der Loginparameter.
VarystringAntworten variieren nach Accept-Language; browsergerenderte Antworten können zusätzlich nach Präferenzcookie variieren.
X-Content-Type-OptionsJSON; {"const":"nosniff"}Der Browser muss den angegebenen Inhaltstyp verwenden.
X-Frame-OptionsJSON; {"const":"DENY"}Die Antwort darf nicht in einem Frame eingebettet werden.
X-Request-IDstringVom Server erzeugte Anfragekennung. Bei Fehlermeldungen mitgeben; eingehende Werte werden nicht als vertrauenswürdig übernommen.

application/problem+json

FeldTyp und GrenzenErforderlichBedeutung
$ProblemJa—
$.codestringJaStabiler maschinenlesbarer Fehlercode
$.detailstringJaKurze lokalisierte Erklärung ohne interne Fehlerdaten
$.instancestringJaEinmalige relative Kennung /api/v1/requests/{request_id}; keine abrufbare Ressource
$.messagestringJaVorübergehend für bestehende Clients gleich detail
$.message_keystringJaStabiler Übersetzungsschlüssel für einen Sprachwechsel der Anzeige ohne neue Anfrage
$.message_paramsobject; {"additionalProperties":true}JaBenannte, sicher ausgegebene Meldungsparameter; kein beliebiges HTML
$.request_idstring; {"pattern":"^[0-9a-f]{32}$"}JaVom Server erzeugte Diagnosekennung. Enthält kein Logintoken und keine Zugangsdaten.
$.statusinteger; {"maximum":599,"minimum":400}Ja—
$.titlestringJaLokalisierte HTTP-Statusbezeichnung
$.typestring; {"const":"about:blank"}Ja—
json
{
  "code": "demo",
  "detail": "Demo error detail; inspect the documented code.",
  "instance": "demo",
  "message": "Demo error detail; inspect the documented code.",
  "message_key": "errors.requestFailed",
  "message_params": {},
  "request_id": "00000000000000000000000000000000",
  "status": 422,
  "title": "Demo error",
  "type": "about:blank"
}
Stabile Fehlercodes
rate_limited
HeaderTyp und GrenzenBedeutung
Cache-Controlstring; {"pattern":"(?:^|,\\s*)no-store(?:,|$)"}Private API-Antworten verbieten Speicherung. Öffentliche OAuth-Metadaten werden 300 Sekunden gecacht; Livestreams verbieten zusätzlich Transformation.
Content-Languagestring; {"enum":["en","de"]}Sprache lesbarer Antworttexte aus Accept-Language oder der dokumentierten Browserpräferenz. Technische Codes und Kennungen bleiben stabil.
Referrer-PolicyJSON; {"enum":["strict-origin-when-cross-origin","no-referrer"]}Standard-Referrerpolicy ist strict-origin-when-cross-origin. Anbieterloginantworten verwenden no-referrer zum Schutz der Loginparameter.
Retry-Afterstring; {"pattern":"^[0-9]+$"}Sekunden bis zur Wiederholung. Bewahren Sie unterstützte Idempotenzkennungen und beachten Sie die Änderungsregeln der Operation.
VarystringAntworten variieren nach Accept-Language; browsergerenderte Antworten können zusätzlich nach Präferenzcookie variieren.
X-Content-Type-OptionsJSON; {"const":"nosniff"}Der Browser muss den angegebenen Inhaltstyp verwenden.
X-Frame-OptionsJSON; {"const":"DENY"}Die Antwort darf nicht in einem Frame eingebettet werden.
X-Request-IDstringVom Server erzeugte Anfragekennung. Bei Fehlermeldungen mitgeben; eingehende Werte werden nicht als vertrauenswürdig übernommen.

application/problem+json

FeldTyp und GrenzenErforderlichBedeutung
$ProblemJa—
$.codestringJaStabiler maschinenlesbarer Fehlercode
$.detailstringJaKurze lokalisierte Erklärung ohne interne Fehlerdaten
$.instancestringJaEinmalige relative Kennung /api/v1/requests/{request_id}; keine abrufbare Ressource
$.messagestringJaVorübergehend für bestehende Clients gleich detail
$.message_keystringJaStabiler Übersetzungsschlüssel für einen Sprachwechsel der Anzeige ohne neue Anfrage
$.message_paramsobject; {"additionalProperties":true}JaBenannte, sicher ausgegebene Meldungsparameter; kein beliebiges HTML
$.request_idstring; {"pattern":"^[0-9a-f]{32}$"}JaVom Server erzeugte Diagnosekennung. Enthält kein Logintoken und keine Zugangsdaten.
$.statusinteger; {"maximum":599,"minimum":400}Ja—
$.titlestringJaLokalisierte HTTP-Statusbezeichnung
$.typestring; {"const":"about:blank"}Ja—
json
{
  "code": "demo",
  "detail": "Demo error detail; inspect the documented code.",
  "instance": "demo",
  "message": "Demo error detail; inspect the documented code.",
  "message_key": "errors.requestFailed",
  "message_params": {},
  "request_id": "00000000000000000000000000000000",
  "status": 429,
  "title": "Demo error",
  "type": "about:blank"
}
Stabile Fehlercodes
auth_unavailable
HeaderTyp und GrenzenBedeutung
Cache-Controlstring; {"pattern":"(?:^|,\\s*)no-store(?:,|$)"}Private API-Antworten verbieten Speicherung. Öffentliche OAuth-Metadaten werden 300 Sekunden gecacht; Livestreams verbieten zusätzlich Transformation.
Content-Languagestring; {"enum":["en","de"]}Sprache lesbarer Antworttexte aus Accept-Language oder der dokumentierten Browserpräferenz. Technische Codes und Kennungen bleiben stabil.
Referrer-PolicyJSON; {"enum":["strict-origin-when-cross-origin","no-referrer"]}Standard-Referrerpolicy ist strict-origin-when-cross-origin. Anbieterloginantworten verwenden no-referrer zum Schutz der Loginparameter.
Retry-Afterstring; {"pattern":"^[0-9]+$"}Sekunden bis zur Wiederholung. Bewahren Sie unterstützte Idempotenzkennungen und beachten Sie die Änderungsregeln der Operation.
VarystringAntworten variieren nach Accept-Language; browsergerenderte Antworten können zusätzlich nach Präferenzcookie variieren.
X-Content-Type-OptionsJSON; {"const":"nosniff"}Der Browser muss den angegebenen Inhaltstyp verwenden.
X-Frame-OptionsJSON; {"const":"DENY"}Die Antwort darf nicht in einem Frame eingebettet werden.
X-Request-IDstringVom Server erzeugte Anfragekennung. Bei Fehlermeldungen mitgeben; eingehende Werte werden nicht als vertrauenswürdig übernommen.

application/problem+json

FeldTyp und GrenzenErforderlichBedeutung
$ProblemJa—
$.codestringJaStabiler maschinenlesbarer Fehlercode
$.detailstringJaKurze lokalisierte Erklärung ohne interne Fehlerdaten
$.instancestringJaEinmalige relative Kennung /api/v1/requests/{request_id}; keine abrufbare Ressource
$.messagestringJaVorübergehend für bestehende Clients gleich detail
$.message_keystringJaStabiler Übersetzungsschlüssel für einen Sprachwechsel der Anzeige ohne neue Anfrage
$.message_paramsobject; {"additionalProperties":true}JaBenannte, sicher ausgegebene Meldungsparameter; kein beliebiges HTML
$.request_idstring; {"pattern":"^[0-9a-f]{32}$"}JaVom Server erzeugte Diagnosekennung. Enthält kein Logintoken und keine Zugangsdaten.
$.statusinteger; {"maximum":599,"minimum":400}Ja—
$.titlestringJaLokalisierte HTTP-Statusbezeichnung
$.typestring; {"const":"about:blank"}Ja—
json
{
  "code": "demo",
  "detail": "Demo error detail; inspect the documented code.",
  "instance": "demo",
  "message": "Demo error detail; inspect the documented code.",
  "message_key": "errors.requestFailed",
  "message_params": {},
  "request_id": "00000000000000000000000000000000",
  "status": 503,
  "title": "Demo error",
  "type": "about:blank"
}

Wiederholungen und asynchrone Aufträge

Für diese Änderung gibt es keine allgemeine Wiederholungsgarantie. Prüfen Sie bei unklarer Antwort den betroffenen Eintrag, bevor Sie es erneut versuchen. Beachten Sie Wartezeiten aus Retry-After und fordern Sie abgelaufene Anmelde- oder Aktionscodes neu an.

Anfragebeispiele

Ersetzen Sie Demokennungen, Zeitstempel und Platzhalter durch eigene Werte. Behalten Sie bei Wiederholungen Kennungen, Zeit und Inhalt bei. Diese Beispiele führen auf der Seite keine Anfragen aus.

Halten Sie Anmeldelinks, Codes, Cookies und Schlüssel privat. Schreiben Sie sie nicht in Logs und teilen Sie sie nicht in Hilfeanfragen.

shell
curl --silent --show-error --output /dev/null --write-out "%{http_code}\n" \
  --request POST \
  --header @"$HOME/.config/metribeacon/headers.txt" \
  --header "Origin: https://metribeacon.com" \
  --header "Content-Type: application/json" \
  --data-binary '{"token":"0000000000000000000000000000000000000000000000000000000000000000"}' \
  "https://metribeacon.com/api/v1/auth/entry/email/confirm"
python
import json
from pathlib import Path
from urllib.request import Request, HTTPRedirectHandler, build_opener
from urllib.error import HTTPError

headers = json.loads((Path.home() / ".config/metribeacon/headers.json").read_text())
headers["Origin"] = "https://metribeacon.com"
headers["Content-Type"] = "application/json"
request = Request("https://metribeacon.com/api/v1/auth/entry/email/confirm", data="{\"token\":\"0000000000000000000000000000000000000000000000000000000000000000\"}".encode("utf-8"), headers=headers, method="POST")
class NoRedirect(HTTPRedirectHandler):
    def redirect_request(self, request, fp, code, message, headers, target):
        return None

opener = build_opener(NoRedirect())
try:
    with opener.open(request, timeout=10) as response:
        print(response.status)
except HTTPError as error:
    print(error.code)
    error.close()
javascript
import { readFile } from "node:fs/promises";
import { homedir } from "node:os";
import { join } from "node:path";

const headers = JSON.parse(await readFile(join(homedir(), ".config/metribeacon/headers.json"), "utf8"));
headers["Origin"] = "https://metribeacon.com";
headers["Content-Type"] = "application/json";
const response = await fetch("https://metribeacon.com/api/v1/auth/entry/email/confirm", {
  method: "POST", headers, redirect: "manual",
  signal: AbortSignal.timeout(10000), body: "{\"token\":\"0000000000000000000000000000000000000000000000000000000000000000\"}",
});
console.log(response.status);
await response.body?.cancel();
go
package main

import (
  "fmt"
  "net/http"
  "time"
  "encoding/json"
  "os"
  "path/filepath"
  "strings"
)

func main() {
  home, err := os.UserHomeDir(); if err != nil { panic("request failed; credentials and response omitted") }
  raw, err := os.ReadFile(filepath.Join(home, ".config/metribeacon/headers.json")); if err != nil { panic("request failed; credentials and response omitted") }
  var headers map[string]string
  if json.Unmarshal(raw, &headers) != nil { panic("invalid local headers") }
  request, err := http.NewRequest("POST", "https://metribeacon.com/api/v1/auth/entry/email/confirm", strings.NewReader("{\"token\":\"0000000000000000000000000000000000000000000000000000000000000000\"}"))
  if err != nil { panic("request failed; credentials and response omitted") }
  for name, value := range headers { request.Header.Set(name, value) }
  request.Header.Set("Origin", "https://metribeacon.com")
  request.Header.Set("Content-Type", "application/json")
  client := &http.Client{Timeout: 10*time.Second, CheckRedirect: func(*http.Request, []*http.Request) error { return http.ErrUseLastResponse }}
  response, err := client.Do(request)
  if err != nil { panic("request failed; credentials and response omitted") }
  defer response.Body.Close()
  fmt.Println(response.StatusCode)
}
  • HTTP-API, OAuth und MCP

    Finden Sie die Nutzer-API-Endpunkte mit Rechten, Feldern, Beispielen und Antwortformaten.

  • POST E-Mail-Nachweis für Browsereinstieg anfordern

    Fordert einen zehn Minuten gültigen Magic Link und sechsstelligen Code für den anfordernden Browser an. Ein aktives bestätigtes Konto kann unabhängig vom Registrierungsgate anmelden. Ein neues menschliches Konto entsteht nur bei freigegebener Registrierung und eingehaltenen Grenzen; nach dem Nachweis bleibt aktuelle rechtliche Zustimmung erforderlich. Die 202-Antwort verrät keinen Mailversand. Erneutes Anfordern innerhalb von 60 Sekunden liefert die bestehende Challenge; spätere Anfragen ersetzen nur diesen Browserablauf.

  • DELETE Browsereinstieg abbrechen

    Entwertet offene E-Mail-Challenges und den browsergebundenen Einstieg und entfernt dessen Voranmeldecookie. Eine bestehende Anwendungssitzung wird nicht widerrufen. Erfordert die erlaubte Browserherkunft.

  • GET Aktuellen Browsereinstieg lesen

    Liest den an __Host-mb_auth gebundenen Ablauf ohne Anwendungssitzung anzulegen. Fehlende, abgelaufene, abgeschlossene oder abgebrochene Abläufe liefern status idle. Aktive Abläufe beschreiben Nachweis, Zustimmung oder ausdrückliche Identitätsverknüpfung.