GETMéthode GET/qr/verify

Vous obtenez un verdict d'authenticité pour un article, à partir des paramètres signés d'une adresse de vérification, sans aucune clef d'API.

L'adresse complète est https://api.sealtrust.io/v1/qr/verify. La même route existe sans le préfixe /v1, et c'est la forme /v1 qui est recommandée pour une nouvelle intégration.

Ce point d'entrée répond 200 même quand le verdict est négatif. Un QR falsifié, un QR trop ancien, un article pas encore frappé : dans les trois cas la réponse est un 200 dont le champ valid vaut false. Les codes 4xx et 5xx sont réservés aux cas où aucun verdict ne peut être rendu.

#Autorisation

Aucune, point d'entrée public. Il n'attend ni clef d'API, ni cookie de session, ni en-tête Authorization.

Appelez-le depuis votre serveur. Notre politique de partage entre origines n'autorise que le site public et la console SealTrust. Depuis une page web hébergée sur un autre domaine, le navigateur bloque la réponse, et l'en-tête X-RateLimit-Remaining n'est de toute façon jamais exposé à un script de page.

Ce qui fait foi ici, c'est la valeur s. C'est la signature que nous avons apposée en produisant l'adresse de vérification. Sans elle, ou avec une valeur modifiée, le verdict est négatif.

#Plafond d'appels

30 appels par fenêtre de 60 secondes, comptés par adresse IP appelante. Le plafond est partagé par toutes les adresses qui commencent par /qr, et il s'applique aussi bien à /qr/verify qu'à /v1/qr/verify.

Les réponses portent les en-têtes X-RateLimit-Limit, X-RateLimit-Remaining et X-RateLimit-Reset, ce dernier donnant l'heure de remise à zéro en secondes depuis le 1er janvier 1970. Un dépassement renvoie 429 avec en plus Retry-After, en secondes.

Ne faites pas dépendre votre code de la présence de ces en-têtes : lisez-les s'ils sont là, et continuez s'ils manquent.

Ce point d'entrée ne consomme aucun quota de votre offre.

#Paramètres de chemin et de requête

Ce point d'entrée n'a aucun paramètre de chemin.

latitude et longitude vont par paire. Si vous n'en envoyez qu'une seule, elle est écartée et le scan est enregistré sans coordonnées.

La réponse ne renvoie jamais de coordonnées : au mieux un libellé de zone. Quand vous n'envoyez pas de coordonnées, la ville et le pays de ce libellé sont déduits de l'adresse IP appelante, par une base de correspondance lue chez nous. Votre adresse IP n'est envoyée à aucun service extérieur. Si la position du scan compte pour vous, envoyez latitude et longitude. Sinon, sachez que la zone enregistrée sera celle de la machine qui appelle.

#Corps de la requête

Aucun. C'est une requête GET, tout passe par les paramètres de requête.

curl -i -G https://api.sealtrust.io/v1/qr/verify \
  --data-urlencode "u=0x0000000000000000000000000000000000000000000000000000000000000000" \
  --data-urlencode "t=1024" \
  --data-urlencode "ts=1755000000" \
  --data-urlencode "c=0x00000000" \
  --data-urlencode "s=0000000000000000000000000000000000000000000000000000000000000000"

// À exécuter sur votre serveur, avec Node 18 ou plus récent.
// Depuis une page web d'un autre domaine, le navigateur bloque la réponse.
const parametres = new URLSearchParams({
  u: "0x0000000000000000000000000000000000000000000000000000000000000000",
  t: "1024",
  ts: "1755000000",
  c: "0x00000000",
  s: "0000000000000000000000000000000000000000000000000000000000000000",
});

const response = await fetch(
  `https://api.sealtrust.io/v1/qr/verify?${parametres.toString()}`,
);

console.log(response.status);
// Cet en-tête n'est lisible que depuis un appel serveur, et il peut manquer.
console.log(response.headers.get("X-RateLimit-Remaining"));
console.log(await response.json());

import requests

response = requests.get(
    "https://api.sealtrust.io/v1/qr/verify",
    params={
        "u": "0x0000000000000000000000000000000000000000000000000000000000000000",
        "t": "1024",
        "ts": "1755000000",
        "c": "0x00000000",
        "s": "0000000000000000000000000000000000000000000000000000000000000000",
    },
    timeout=30,
)

print(response.status_code)
# Cet en-tête peut manquer, donc lisez-le sans exiger sa présence.
print(response.headers.get("X-RateLimit-Remaining"))
print(response.json())

{
  "valid": true,
  "message": "Authentic product: QR code and blockchain verified.",
  "uid_hash": "0x0000000000000000000000000000000000000000000000000000000000000000",
  "token_id": "1024",
  "product_name": "Sac de voyage Exemple SAS",
  "brand_name": "Exemple SAS",
  "image_url": null,
  "contract_address": "0x0000000000000000000000000000000000000000",
  "scan_area": "Lyon, FR"
}

{
  "valid": false,
  "message": "Invalid QR code signature. This QR code may be tampered with.",
  "uid_hash": "0x0000000000000000000000000000000000000000000000000000000000000000",
  "token_id": null,
  "product_name": null,
  "brand_name": null,
  "image_url": null,
  "contract_address": null,
  "scan_area": null
}

{
  "valid": false,
  "message": "Invalid product: blockchain verification failed.",
  "uid_hash": "0x0000000000000000000000000000000000000000000000000000000000000000",
  "token_id": "1024",
  "product_name": "Sac de voyage Exemple SAS",
  "brand_name": "Exemple SAS",
  "image_url": null,
  "contract_address": "0x0000000000000000000000000000000000000000",
  "scan_area": null
}