У всех клиентов один OAuth-доступ и один Public API. Skills и MCP — только разные адаптеры поверх этого контракта.
Архивы не содержат секретов. Контрольные суммы предназначены для автоматической проверки загрузок.
sha256:fa11d3f20c1522f1a69b9ba129beef2008dab0b7fd309c4fd73338af80ba2f6d
sha256:7c1b760df4fc425565c305d188a1eb08df93cd769a92953d7af6a14c1541877f
sha256:9ecc9a91a2dda7e06e546d5d8b5159edea1fa8e42a1c1bd53a09800018558d49
sha256:a263107cd3d9f2d7c5d4d972349dadee40a115e945fe0a42915130bb9870d32e
Все OAuth POST-запросы используют application/x-www-form-urlencoded. Клиент обязан передавать resource indicator.
POST https://api.moreslov.com/oauth/device/authorization
Content-Type: application/x-www-form-urlencoded
client_id=moreslov-agent&scope=transcriptions%3Aread&resource=https%3A%2F%2Fapi.moreslov.comОтвет содержит device_code, user_code, verification_uri_complete, expires_in и interval. Token endpoint поддерживает стандартные authorization_pending, slow_down, access_denied и expired_token.
POST https://api.moreslov.com/oauth/token
Content-Type: application/x-www-form-urlencoded
grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Adevice_code&client_id=moreslov-agent&device_code=...&resource=https%3A%2F%2Fapi.moreslov.comAccess token действует 30 дней. Refresh token действует до 90 дней, ротируется при обновлении и привязан к resource, scopes и выбранному workspace.
GET https://api.moreslov.com/v1/me
Authorization: Bearer <access_token>POST https://api.moreslov.com/oauth/token
Content-Type: application/x-www-form-urlencoded
grant_type=refresh_token&client_id=moreslov-agent&refresh_token=...&resource=https%3A%2F%2Fapi.moreslov.comПолный HTTP-контракт доступен в OpenAPI JSON и интерактивной API-документации.
Stdio-сервер публикует инструменты moreslov_me, moreslov_list_transcriptions, moreslov_get_transcription, moreslov_import_url, moreslov_upload_file, moreslov_get_status, moreslov_list_segments, moreslov_search_transcript и moreslov_download_export.
Клиент должен проверять issuer и resource https://api.moreslov.com, запрашивать минимальные scopes и хранить токены только в защищённом локальном хранилище. Загрузка файла должна выполняться только по явному запросу пользователя.