---
id: admin-login
title: "POST /api/site-admin/login — Вход site-admin (пароль)"
domain: admin
kind: api-method
http: "POST /api/site-admin/login"
---

# POST /api/site-admin/login — Вход site-admin (пароль) {#admin-login}

## Сводка

| Поле | Значение |
|---|---|
| **HTTP** | `POST /api/site-admin/login` |
| **Auth** | `—` |
| **Scope токена** | `read_write` |
| **PG-функции** | `api.admin_login` |
| **Таблицы** | — |
| **SRM** | — (вне SRM, документировано по коду) |
| **RP (права)** | — |
| **Файл роута** | `server/routes/site-admin.js` |
| **Статус** | по коду (вне SRM) |

**Аргументы запроса** (best-effort из хендлера; путь-параметры опущены):

| Аргумент | Где | Обяз. | Заметка |
|---|---|---|---|
| `email` | body | | _подтвердить_ |
| `password` | body | | _подтвердить_ |

**Коды ответов/ошибок** (из хендлера): `400`, `401` (+ `200`) — _уточнить причины вручную_

Это операция **site-admin**, и она **недоступна API-токену ни на каком scope**. Вход в панель администратора платформы — исключительно человеческий поток через браузер: пароль плюс одноразовый код TOTP, защищённая cookie-сессия. Токен здесь не участвует.

Путь `/api/site-admin/*` закрыт для Bearer-токенов в agent-gate (`server/auth/agentGate.js`): он не входит ни в read-allowlist, ни в write-allowlist, а allowlist работает «закрыто по умолчанию». Любой вызов с `Authorization: Bearer tak_...` на этот путь возвращает `403` (`Forbidden for token`). Markdown-зеркала у site-admin нет.

Сам `login` — публичный шаг входа (без middleware, `mw=-`): он создаёт человеческую сессию, а не токенную. Поток показан для полноты, выполняется браузером с сохранением cookie:

```bash
# Шаг 1 — пароль. При включённом TOTP в ответе придёт tempToken для шага 2.
curl -X POST https://specbuilder.vnimanie.ai/api/site-admin/login \
  -c admin-cookies.txt \
  -H "Content-Type: application/json" \
  -d '{"email":"admin@example.com","password":"<пароль>"}'
```

**Ответ при включённом TOTP (`200`)** — переход на второй шаг:

```json
{ "step": "totp", "tempToken": "0e1f2a3b-..." }
```

**Ответ без TOTP (`200`)** — сессия уже открыта, cookie `admin_sid` установлена:

```json
{ "step": "done", "admin": { "id": "9c8b7a6d-...", "email": "admin@example.com" } }
```

Дальнейший шаг при `step: totp` — [verify-totp](verify-totp.md#admin-verify-totp).

<!-- gen:start:related -->
## Связанные
- [Конвенции](../../../shared/conventions.md#conventions) · [Роли](../../../shared/roles.md#roles) · [Ошибки](../../../shared/errors.md#errors) · [Глоссарий](../../../shared/glossary.md#glossary)
<!-- gen:end:related -->

---

Human view: https://docs.vnimanie.ai/specbuilder/v1/domains/admin/api/login/