Почтовый ящик

На серверах Calab с почтовым хостингом — когда домен компании и ящики держит оператор — пароль ящика человеку восстанавливает бот: человек просит, бот спрашивает Calab, Calab просит хостинг завести новый пароль, и человек получает одноразовую ссылку. Маршруты открыты только ботам из списка оператора (MAILHOST_RESET_BOTS); на сервере без почтового хостинга оба отвечают 404.

Адрес ящика бот не видит никогда: hosting-check возвращает только домен и флаги. Новый пароль бот тоже не видит — он получает лишь ссылку; пароль показывает одноразовая страница, и живёт ссылка 10 минут.

Маршруты#

Проверить ящик#

POST /api/mailbox/hosting-check {userId} — про любого пользователя сервера, общее пространство не нужно. Ответ:

{ "hosted": true, "domain": "calab.io", "verified": true }

curl -s -X POST $CALAB/api/mailbox/hosting-check -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/json' -d "{\"userId\": \"$USER\"}"
# → {"hosted": true, "domain": "calab.io", "verified": true}

Сбросить пароль#

POST /api/mailbox/password-reset {userId} прогоняет проверки по порядку и только потом обращается к хостингу:

Ответ — {token, redeemUrl, expiresAt}: сервер уже завёл на хостинге новый пароль и спрятал его под одноразовым токеном на 10 минут. Отправьте redeemUrl человеку — например, в личные сообщения.

curl -s -X POST $CALAB/api/mailbox/password-reset -H "Authorization: Bearer $TOKEN" \
  -H 'Content-Type: application/json' -d "{\"userId\": \"$USER\"}"
# → {"token": "kQ…", "redeemUrl": "https://app.example.com/mail-reset/kQ…", "expiresAt": "2026-10-15T12:10:00Z"}

const r = await fetch(`${CALAB}/api/mailbox/password-reset`, {
  method: 'POST', headers: H, body: JSON.stringify({ userId }),
});
if (!r.ok) throw new Error(`reset: ${r.status}`);
const { redeemUrl } = await r.json();
await bot.send(dm.room.id, `Новый пароль ящика: ${redeemUrl}`);

r = requests.post(f"{CALAB}/api/mailbox/password-reset", headers=H, json={"userId": user_id})
r.raise_for_status()
# отправьте ссылку человеку, например в личные сообщения
print(r.json()["redeemUrl"])

Страница человека#

redeemUrl ведёт на /mail-reset/<token>. Страница сама делает единственный анонимный POST /api/mailbox/password/redeem {token} — сервер отдаёт {email, password} и тут же удаляет токен. Человек видит адрес и новый пароль один раз: моноширинно, с «Скопировать» и «Открыть в Calab». Повторное открытие или истёкшая ссылка — 410 ERROR_CODE_CODE_EXPIRED; человеку остаётся попросить бота новую. Боту этот маршрут не нужен: его вызывает страница.

Лимиты#