API, MCP и вебхуки

1. Кабинет → Компания → Интеграции → «API-ключи» → «Создать ключ». Ключ lbr_live_… показывается один раз, LABRICA хранит только его отпечаток.

2. Отправьте пост. Время — обязательно с часовым поясом:

curl https://app.labrica.pro/api/v1/posts \
  -H "Authorization: Bearer lbr_live_…" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: novinka-2026-10-20" \
  -d '{
    "text": "Новая коллекция уже в магазине. **Скидка 10%** до воскресенья",
    "channels": ["telegram", "vk", "max"],
    "scheduledAt": "2026-10-20T19:00:00+03:00"
  }'

Ответ содержит пост, его статус и ссылку на кабинет. Если пост не пройдёт на какой-то площадке, придёт 422 VALIDATION_FAILED со списком причин в details.issues.

Адрес API: https://app.labrica.pro/api/v1. Заголовок: Authorization: Bearer lbr_live_…. Ключи выдаёт владелец пространства, до 10 ключей. Ключ перестаёт работать при отзыве и смене пароля.

• read — посты, план, статистика, голос бренда
• write — черновики, правки, файлы, ссылки
• publish — постановка в план и публикация
• ai — генерация LABI, тратит токены тарифа

Лимиты на ключ: 120 запросов в минуту, 30 публикаций в час, 20 ИИ-запросов в минуту. Повтор POST с тем же Idempotency-Key (или requestId) в течение суток вернёт прежний ответ с заголовком Idempotent-Replay.

Формат: {"error": "текст по-русски", "code": "КОД", "details": {…}}. Текст можно показывать человеку: в нём сказано, что исправить.

Адрес: https://mcp.labrica.pro/mcp (Streamable HTTP). Для ChatGPT — https://mcp.labrica.pro/mcp/chatgpt. Вход — OAuth 2.1 с PKCE и динамической регистрацией клиента; для скриптов подходит тот же API-ключ в заголовке Authorization.

Claude Code: claude mcp add --transport http labrica https://mcp.labrica.pro/mcp. Пошагово — на страницах Claude, ChatGPT и MCP.

Создать: POST /api/v1/webhooks с {"url": "https://…", "events": [...]}. В ответе — секрет whsec_…, он показывается один раз. Проверка: POST /api/v1/webhooks/:id/test.

LABRICA отправляет POST с JSON {id, event, createdAt, data} и заголовками X-Labrica-Event, X-Labrica-Delivery, X-Labrica-Timestamp, X-Labrica-Signature. Ответ 2xx — доставлено. Иначе повторы через 1 мин, 5 мин, 30 мин, 2 ч и 12 ч; после 50 неудач подряд вебхук отключается, владельцу приходит письмо.

Проверка подписи (Node.js):

import {createHmac, timingSafeEqual} from 'node:crypto';

// rawBody — тело запроса как строка, до JSON.parse
function isFromLabrica(headers, rawBody, secret) {
  const timestamp = headers['x-labrica-timestamp'];
  const expected = 'sha256=' + createHmac('sha256', secret).update(`${timestamp}.${rawBody}`).digest('hex');
  const got = String(headers['x-labrica-signature'] || '');
  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) < 300;
  return fresh && got.length === expected.length && timingSafeEqual(Buffer.from(got), Buffer.from(expected));
}

• Посты по расписанию публикует сервер: в Telegram, ВКонтакте, Одноклассники, МАКС, Instagram*, Threads*, Facebook*, X. YouTube и TikTok — только из окна публикации в кабинете (422 MANUAL_ONLY).
• Файлы через /media — до 5 МБ, тип определяется по содержимому. Ссылки — только https на публичные адреса.
• Если в компании включено согласование, пост со временем получает статус pending_approval и выходит после одобрения в кабинете.
• Без активного тарифа API работает только на чтение.

*Instagram, Facebook и Threads принадлежат Meta Inc. — организации, признанной экстремистской на территории Российской Федерации.