Référence des routes

Ce qui est commun aux quatre#

• Réponses en JSON, cache-control: no-store.
• Toute méthode non prévue reçoit 405.
• L'ordre des contrôles est le même partout : débit → taille annoncée → identité → taille reçue → forme → règles métier.
• Les messages d'erreur ne portent aucun détail technique. Le détail va dans les journaux serveur.
• Aucune réponse ne contient de secret : ni jeton, ni empreinte, ni contenu de session.

POST /api/auth#

Ouvre une session à partir de la clé du site. C'est la seule route qui évalue une identité.

curl -i -X POST https://le-site.fr/api/auth \
  -H "content-type: application/json" \
  -d '{"key":"la-cle-du-site"}'

set-cookie: inline_session=…; HttpOnly; Secure; SameSite=Strict; Path=/; Max-Age=28800
set-cookie: inline_edit=1; Secure; SameSite=Strict; Path=/; Max-Age=28800

{ "ok": true }

Coût : environ 350 ms, le temps d'argon2id. C'est voulu — c'est ce qui rend la force brute impraticable. Corps limité à 2 000 octets, clé à 256 caractères : au-delà, rien n'est calculé.

DELETE /api/auth

Ferme la session : les deux cookies sont effacés. Répond toujours 200.

GET /api/content#

Lit l'état réel du dépôt et la version de référence du verrou optimiste. L'overlay l'appelle au chargement.

curl -s "https://le-site.fr/api/content?path=src/content/pages/fr/home.json" \
  --cookie "inline_session=…"

{
  "content": "{\n  \"meta\": { … }\n}\n",
  "version": "3f2a1c…"
}

POST /api/save#

Valide et publie une page. C'est la route la plus contrôlée du projet.

{
  "path": "src/content/pages/fr/home.json",
  "content": "{ … le fichier JSON entier, en texte … }",
  "version": "3f2a1c…",
  "message": "content(fr): home — hero.title"
}

{ "version": "9b7e42…" }

POST /api/upload#

Reçoit une image déjà recadrée et convertie par le navigateur, la vérifie, la renomme et la range dans le dépôt.

file   le fichier image (JPEG, PNG ou WebP), 20 Mo au plus
name   nom souhaité, 200 caractères au plus — indicatif, toujours réécrit

{ "src": "fournil-au-petit-matin.webp", "width": 1600, "height": 900 }

Le routeur#

Un site déclare ses routes une fois, et l'hébergeur s'y branche. La déclaration tient en une ligne : la seule décision qui appartienne au site, ce sont ses langues.

import { createRouter } from 'inline-core/server';
import { LOCALES } from './locales';

export const api = createRouter({ locales: LOCALES });

createRouter renvoie les quatre routes sous trois formes. Chaque hébergeur prend celle qui lui convient — aucune n'est privilégiée, et le paquet n'en connaît aucun.

env porte ce que l'hébergeur expose : les variables, et les liaisons éventuelles — dont RATE_LIMIT. Une méthode non servie reçoit un 405, un chemin inconnu un 404, et toujours en JSON : l'appelant est l'overlay, une page d'erreur ne lui apprend rien.

Les fabriques#

Elles restent exportées, pour un câblage à la main : createRouter ne fait que les réunir. Un site en 2.0.x n'a donc rien à changer.

import {
  createAuthRoute,      // ()                     → onRequest, onRequestPost, onRequestDelete
  createContentRoute,   // ({ locales })          → onRequest, onRequestGet
  createSaveRoute,      // ({ locales })          → onRequest, onRequestPost
  createUploadRoute,    // ()                     → onRequest, onRequestPost
} from 'inline-core/server';

SiteConfig ne contient qu'une chose : locales. Si cette interface s'allonge, c'est le signe qu'une décision du paquet a fuité vers les sites.

Les budgets de débit#

Les plafonds#