API

מפתחות נוצרים באפליקציה: פרופיל ← מפתחות API ← +. יצירת מפתח דורשת רמה 4 (אימות פורמלי), אותו רף כמו חשבונות עסקיים — מפתח פועל בשמכם מחוץ לאפליקציה, ולכן הוא ניתן רק לחשבון שאדמין זיהה. צפייה וביטול אפשריים בכל רמה.

• —שם — לצורך הסדר שלכם («Studio Midbar»).
• —לפרסם בתור — החשבון האישי שלכם או אחד מחשבונות המשנה העסקיים. מפתח שמוצמד לעסק יכול לפרסם רק תחת אותה זהות; ציון זהות אחרת בבקשה נדחה.
• —לאפשר פרסום — כבוי, המפתח יכול רק לקרוא.

הסוד (msk_live_…) מוצג פעם אחת בלבד. השרת שומר רק את ה-SHA-256 שלו, ולכן אי אפשר לשחזר אותו — מפתח שאבד מבטלים ומחליפים. אפשר להחזיק עד 20 מפתחות פעילים, לכל אחד תפוגה אופציונלית של עד עשר שנים.

שלחו את המפתח כ-bearer token. גם הכותרת X-API-Key מתקבלת, עבור לקוחות ששומרים את Authorization לעצמם.

curl https://api.mishkan.tech/api/users/me \
  -H "Authorization: Bearer $MISHKAN_KEY"

מפתח לא מוכר, מבוטל או שפג — כולם מקבלים אותו 401, במכוון: בדיקה לא מלמדת תוקף דבר.

מפתח נושא posts:read, posts:write, notifications:write, או כל צירוף שלהם. כל השאר — הודעות, מ, אימות, ניהול, וניהול המפתחות עצמו — שמור לחיבור מתוך האפליקציה. מפתח שדלף אינו יכול ליצור מפתח נוסף, לקרוא את השיחות שלכם או לרוקן את היתרה.

• —posts:read — קריאת הפיד, פוסט בודד, הפוסטים שלכם, החשבונות העסקיים שלכם.
• —posts:write — פרסום ומחיקה.
• —notifications:write — התרעה לבעלים של המפתח, ולו בלבד. לעולם לא ניתנת כברירת מחדל: בקשו אותה ביצירת המפתח, או הפעילו אותה אחר כך מהשורה שלו באפליקציה.

פרסום בפיד של קבוצה (conversation_id) מחליף את דרישת הרמה בחברות בקבוצה ובמדיניות הפרסום שלה, ומשלם את המחיר של הקבוצה לבעליה.

curl "https://api.mishkan.tech/api/feed?kind=text&limit=20" \
  -H "Authorization: Bearer $MISHKAN_KEY"

פרסום בפיד הציבורי עולה 2 מ ודורש אימות מזוזה (רמה 3). החיוב מוחזר אם השמירה נכשלת.

‏POST /api/posts מפרסם טקסט וקישורים, ב-JSON:

curl -X POST https://api.mishkan.tech/api/posts \
  -H "Authorization: Bearer $MISHKAN_KEY" \
  -H "Content-Type: application/json" \
  -d '{"content":"Chag sameach","language":"en"}'

‏POST /api/posts/visual מפרסם ריל או קרוסלה כ-multipart/form-data: בין קובץ אחד לעשרה, לפי סדר הטופס, עד 30MB לכל הבקשה. הכיתוב נכנס ל-content (1000 תווים), ואותם שדות אופציונליים חלים.

curl -X POST https://api.mishkan.tech/api/posts/visual \
  -H "Authorization: Bearer $MISHKAN_KEY" \
  -F "content=Kabbalat Shabbat, 18:30" \
  -F "media=@reel.mp4;type=video/mp4"

‏POST /api/posts/youtube מפרסם ריל שמבוסס על סרטון יוטיוב. ‏url הוא הסרטון; ‏link_url הוא כפתור «למידע נוסף» נפרד — מלאו את שניהם אם אתם רוצים את שניהם.

curl -X POST https://api.mishkan.tech/api/posts/youtube \
  -H "Authorization: Bearer $MISHKAN_KEY" \
  -H "Content-Type: application/json" \
  -d '{"url":"https://youtu.be/abc123","link_url":"https://example.org"}'

אינטגרציה שנעצרת בלילה — נגמר הקרדיט, אסימון שפג, מכסה שנוצלה — בדרך כלל לא מספרת לאיש: השגיאה נוחתת ביומן של מתזמן, ומגלים אותה שלושה ימים אחר כך, תוך תהייה למה כלום לא פורסם. עם notifications:write, מפתח כותב למרכז ההתראות של בעליו, וההתראה נשלחת כמו כל אחת אחרת.

מפתח מתריע לבעלים שלו, ולאף אחד אחר. הנמען אינו שדה בבקשה — הוא הזהות של המפתח עצמו, ולכן אין מה לזייף כדי להגיע למישהו אחר. הערוץ הזה אינו יכול להפוך לרמקול.

curl -X POST https://api.mishkan.tech/api/notifications \
  -H "Authorization: Bearer $MISHKAN_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "title": "Autopilot stopped",
    "body": "Anthropic credit exhausted — nothing published since 03:12.",
    "source": "TorahWithLLM",
    "level": "error",
    "url": "https://console.anthropic.com/settings/billing",
    "dedupe_key": "anthropic-credit"
  }'

‏202 כשההתראה יוצאת. חזרה שנבלעה מקבלת 200 עם deduped: true והמזהה של ההתראה שכבר נשלחה — הבקשה הצליחה ודבר לא נשלח:

{ "delivered": true, "remaining_today": 59 }
{ "id": "…", "delivered": false, "deduped": true, "remaining_today": 59 }

dedupe_key הוא מה שהופך לולאת התראות לנסבלת: פיילוט שמנסה כל עשר דקות בלי קרדיט היה שולח אחרת את אותה שורה 144 פעמים ביום. מתחתיו רצפה קשיחה של 60 התראות לחשבון לכל 24 שעות, שמעבר לה המסלול מחזיר 429; ‏remaining_today חוזר בכל קריאה כדי שתוכלו להאט לפני כן.

הכותרת והגוף מוצגים בדיוק כפי שנשלחו, בכל השפות: השרת אינו יודע למה התכוונה האינטגרציה שלכם, וניחוש בשלוש שפות היה המצאה. מפתח המוצמד לעסק מתריע תחת אותה זהות — ההתראה מופיעה באפליקציה תחת אותו חשבון, לא במרכז האישי — וגם dedupe_key מוגבל אליה, שכן שני עסקים המשתמשים באותו מפתח מתארים שתי תקלות שונות.

{ "error": "missing the posts:write scope" }

החליקו על המפתח (iOS) או הקישו על הפח (Android), או קראו ל-DELETE /api/api-keys/{id} עם אסימון התחברות. ההשפעה מיידית. פרסומים שכבר נעשו נשארים באוויר: ביטול אישור גישה אינו הסרה של מה שפורסם באמצעותו.