Authentification

Les clés API débitent leur compte propriétaire. OAuth permet à chaque utilisateur connecté d’utiliser ses crédits.

Clés API#

Utilisez une clé API côté serveur pour votre compte, ou OAuth pour chaque client. N’envoyez jamais de clés dans les prompts ou arguments.

HTTP

Authorization: Bearer $TONG_API_KEY

Démarrage rapideCréez une clé API, trouvez un modèle, chiffrez une requête et suivez son résultat.Référence des outilsParcourez tous les outils créatifs et leurs schémas de requête.

Découverte OAuth#

Les clés API débitent leur compte propriétaire. OAuth permet à chaque utilisateur connecté d’utiliser ses crédits.

curl 'https://platform.tongai.io/.well-known/oauth-authorization-server'

Configuration

curl --version

HTTP

GET /.well-known/oauth-protected-resourceGET /.well-known/oauth-protected-resource/mcp

Autorisation et consentement#

OAuth utilise PKCE S256, une URI de redirection exacte et une ressource distincte pour REST ou MCP. Le consentement se fait dans Tong. Les jetons d’actualisation tournent à chaque utilisation.

JSON

{  "response_type": "code",  "client_id": "https://your-app.example/oauth/client.json",  "redirect_uri": "https://your-app.example/oauth/callback",  "resource": "https://platform.tongai.io/mcp",  "scope": "catalog:read operations:read generation:write quotes:write credits:spend",  "code_challenge_method": "S256",  "code_challenge": "BASE64URL_SHA256_OF_VERIFIER",  "state": "RANDOM_SESSION_STATE"}

HTTP

code_expires_in: 60 secondsaccess_token_expires_in: 300 secondsrefresh_token_expires_in: 30 daystoken_endpoint_auth_method: noneclient_id_metadata_document_supported: true

GET /oauth/authorizeOAuth utilise PKCE S256, une URI de redirection exacte et une ressource distincte pour REST ou MCP. Le consentement se fait dans Tong. Les jetons d’actualisation tournent à chaque utilisation.POST /oauth/tokenOAuth utilise PKCE S256, une URI de redirection exacte et une ressource distincte pour REST ou MCP. Le consentement se fait dans Tong. Les jetons d’actualisation tournent à chaque utilisation.POST /oauth/revokeOAuth utilise PKCE S256, une URI de redirection exacte et une ressource distincte pour REST ou MCP. Le consentement se fait dans Tong. Les jetons d’actualisation tournent à chaque utilisation.

Autorisations#

Les outils payants nécessitent aussi credits:spend. Les droits de suppression sont distincts.

Référence des outilsParcourez tous les outils créatifs et leurs schémas de requête.Configuration MCPConnectez Tong dans votre client MCP, autorisez votre compte puis découvrez les outils créatifs permis.