POST/api/public/access-request/email/start-verification

Odoslanie 6-miestneho potvrdzovacieho kódu platného 10 minút na zadanú e-mailovú adresu – prvý krok pred podaním žiadosti o prístup.

`POST /api/public/access-request/email/start-verification` spustí overenie e-mailu pre verejnú žiadosť o prístup. Požiadavka nevyžaduje prihlásenie a v poli tela `email` obsahuje adresu, ktorá sa má overiť. Pri úspešnom spracovaní systém odošle šesťmiestny potvrdzovací kód, ktorý je platný desať minút. Odpoveď obsahuje `ok`, `verification_id`, `expires_in_minutes` a `resend_cooldown_seconds`. `verification_id` sa musí použiť v nasledujúcej trase verify spolu s rovnakou e-mailovou adresou a prijatým kódom. Nie je to prihlasovací token a nesmie sa ukladať ako trvalý identifikátor používateľa ani verejne logovať. Koncový bod nie je idempotentný. Viacero úspešných volaní môže vytvoriť viacero overení, resp. nových kódov. Preto platí prísny limit podľa IP: desať požiadaviek za 15 minút. Odpoveď navyše uvádza blokovanie opakovania na 60 sekúnd. Rozhranie počas tohto času nemá spúšťať nové odoslanie a má zrozumiteľne zobraziť zostávajúci čas čakania. Ak sa limit prekročí, trasa odpovie `429 RATE_LIMIT_EXCEEDED`. Ak sa kód nedá odoslať pre chybu doručenia, je zdokumentovaný `502 MAIL_NOT_SENT`. Tieto prípady sa majú riešiť oddelene: rate limit sa vyrieši počkaním, chyba e-mailu vyžaduje dostupnú adresu a fungujúce doručovanie. Tajomstvá ani interné údaje poštového servera do chybovej správy nepatria. Úspešný prípad bol overený naživo so skutočným `verification_id`. Príslušná správa bola prijatá cez vlastný fake SMTP server a šesťmiestny kód bol prečítaný zo skutočného obsahu e-mailu. Okrem toho bol po opakovaných volaniach pozorovaný negatívny prípad 429. Práve tento dôkaz sa smie uviesť; z neho zatiaľ nevyplýva úspešne dokončená žiadosť o prístup ani platobný proces.

{"email":"max@example.com"}

{"ok":true,"verification_id":"<UUID>","expires_in_minutes":10,"resend_cooldown_seconds":60}