99,95 % uptime
SLO API sur les 12 derniers mois
Docs • API v2.4.0 Enterprise
Documentation & API Boostly
Du premier token à la production en 15 minutes : OAuth 2.0, endpoints REST, webhooks signés HMAC-SHA256 et SDK prêts. Ci-dessous : console API live — changez d’endpoint et de langage, cliquez « Exécuter ».
1. Créez une app
Inscrivez-vous, recevez client_id et client_secret. Ajoutez un redirect URI — tokens uniquement via OAuth 2.0 officiel Meta*.
2. Obtenez un token
Échangez l’authorization code contre un access token. Les tokens longue durée se renouvellent 7 jours avant expiration.
3. Trouvez un thread et répondez
Appelez GET /v1/threads/search, rédigez via POST /v1/replies/draft et publiez via approve — ou validez dans Telegram.
Console API playground
Choisissez endpoint et langage — le snippet se génère seul. « Exécuter » renvoie une réponse mock avec latence.
Réponse
~120 ms
latence médiane REST (p50)
40+ endpoints
threads, réponses, pubs, DM, analytics
15 minutes
de l’inscription au premier appel API
Capacités
Tout pour s’intégrer, prêt à l’emploi
Auth, événements, limites et SDK : les quatre piliers des intégrations.
OAuth 2.0 + scopes
Scopes minimaux par action, PKCE pour clients publics, révocation en un appel DELETE /v1/tokens.
Webhooks signés
Chaque événement signé HMAC-SHA256 (X-Hub-Signature-256). Retries en backoff exponentiel jusqu’à 24 h.
Rate limits honnêtes
Limites dans les en-têtes X-RateLimit-*. Le jitter adaptatif 4–9 min tient le compte loin des filtres spam Meta*.
SDK & CLI
SDK officiels Python, Go et TypeScript + spec OpenAPI 3.1. Générez un client pour votre stack en une minute.
Engineering Deep Dive
Comment l’API marche en interne
Quatre décisions d’ingénierie qui rendent les intégrations prévisibles.
Authentification OAuth 2.0
Authorization Code + PKCE. Scopes : threads.read, replies.write, ads.moderate, dm.send. Tokens en vault AES-256-GCM, renouvellement transparent.
Webhooks & HMAC-SHA256
Signature sur le raw body avec votre app secret. Vérifiez en timing-safe, répondez 200 sous 10 secondes — sinon retry.
Rate limits
600 req/min par clé, 35 publications/jour par profil, jitter 4–9 min. Sur 429 — en-tête Retry-After et file de notre côté.
Approche SDK-first
OpenAPI 3.1 → clients générés. Les SDK retentent, rafraîchissent les tokens et masquent la PII dans les logs par défaut.
Référence des endpoints
Cœur REST API : méthode, chemin et rôle.
| Méthode | Chemin | Description |
|---|---|---|
| GET | /v1/threads/search | Recherche sémantique de threads chauds avec scoring. |
| POST | /v1/replies/draft | Brouillon de réponse experte dans votre ton. |
| POST | /v1/replies/approve | Validation : publier ou file Telegram. |
| GET | /v1/ads/comments | Flux de commentaires sous vos créas. |
| POST | /v1/ads/comments/hide | Shadow-hide du spam : auteur aveugle. |
| POST | /v1/dm/send | Lead magnet en DM avec qualification. |
Exemple de webhook : nouveau thread chaud
Boostly appelle votre URL à chaque événement. Vérifiez la signature avant traitement.
POST → https://votre-domaine/hooks/boostly • en-tête X-Hub-Signature-256
POST /hooks/boostly HTTP/1.1
X-Hub-Signature-256: sha256=9f2c…e41a
{
"event": "thread.hot",
"thread_id": "thr_8H2KQ",
"intent_score": 0.96,
"replies_18m": 48,
"lang": "ru"
}
import hmac, hashlib
sig = hmac.new(APP_SECRET, raw_body, hashlib.sha256).hexdigest()
ok = hmac.compare_digest("sha256=" + sig, request.headers["X-Hub-Signature-256"])
Codes d’erreur
Toutes les erreurs sont du JSON avec code, message et retryable.
| Code | Sens | Action |
|---|---|---|
| 400 invalid_scope | Scope hors App Review | Retirez le scope, relisez la doc |
| 401 token_expired | Token expiré | Refresh ou nouvel OAuth |
| 409 already_published | Réponse déjà publiée | GET du statut au lieu de retry |
| 422 spam_suspect | Rejeté comme spam par Meta* | Augmentez le jitter, ralentissez |
| 429 rate_limited | Limite dépassée | Respectez Retry-After, activez la file |
Boostly API vs Graph API directe vs scraping
Pourquoi les intégrations se construisent sur nous, pas autour.
| Critère | Boostly API | Direct / scraping |
|---|---|---|
| Risque de ban | 0 % : quotas officiels et jitter | Élevé : limites manuelles et bans |
| Validation Telegram | Intégrée : cartes en 1 toucher | À construire de zéro |
| Modération antispam | Dark Post Shield inclus | Masquage manuel seul |
| Audit & conformité | Log, masques PII, export SIEM | À logger vous-même |
Shippez votre première intégration aujourd’hui
Sandbox, spec OpenAPI et SDK — gratuits dans l’essai. Première réponse validée en 15 minutes.
Shippez votre première intégration aujourd’huiSandbox incluse • Sans carte
FAQ API
Enregistrez une app dans le dashboard : recevez client_id et client_secret, complétez OAuth 2.0. Sandbox de test incluse dans l’essai — gratuite.
Calculez HMAC-SHA256 du raw body avec votre app secret et comparez à X-Hub-Signature-256 (timing-safe). Exemple en section webhooks.
600 req/min par clé, jusqu’à 35 publications/jour par profil, jitter 4–9 min. Visibles dans les en-têtes X-RateLimit-*.
SDK officiels Python, Go et TypeScript plus spec OpenAPI 3.1 pour tout langage. Exemples dans les onglets console.
Respectez Retry-After et mettez en file — les SDK le font seuls. Pas de retries bourrins : voie express vers le ban Meta*.
Oui : DELETE /v1/tokens/{id} révoque instantanément. Sur anomalie, l’auto-revoke agit seul avec alerte Telegram.