bff

GET /.well-known/security.txt

Security Txt

GET /api/chat/v1/conversations

List Conversations

POST /api/chat/v1/conversations

Create Conversation

Kropp: ConversationCreate application/json

DELETE /api/chat/v1/conversations/{conversation_id}

Delete Conversation

GET /api/chat/v1/conversations/{conversation_id}

Get Conversation

GET /api/chat/v1/conversations/{conversation_id}/export

Export Conversation

POST /api/chat/v1/conversations/{conversation_id}/messages

Post Message

Kropp: SendMessageRequest application/json

GET /api/chat/v1/models

List Chat Models

Modellkatalogen som chatten får se: avstängda modeller och modeller utan intent utelämnas. Till skillnad från ops-ytan (§6b) är filtreringen rätt här — chatten adresserar ALDRIG en modell vid namn, bara via svarsläge, så en post utan intent är oadresserbar och en avstängd post väljs ändå aldrig av resolve_intent (chat_store/intent.py, R6).

GET /api/chat/v1/records

List Records

POST /api/chat/v1/records

Register Record

Kropp: RecordCreate application/json

PATCH /api/chat/v1/records/{record_id}

Patch Record

Kropp: RecordPatch application/json

GET /api/chat/v1/records/{record_id}/disclose

Disclose Record

POST /api/chat/v1/uploads/file

File Upload

Kropp: string application/octet-stream

POST /api/chat/v1/uploads/scan

Scan Upload

Kropp: UploadScanRequest application/json

GET /api/models

List Models

POST /api/policy/v1/assistants

Create Assistant

PATCH /api/policy/v1/assistants/{assistant_id}

Patch Assistant

POST /api/policy/v1/decide

Decide Probe

Kropp: DecideProbeRequest application/json

GET /api/public-sites

List Sites

POST /api/public-sites

Create Site

Kropp: SiteCreate application/json

POST /api/public-sites/maintenance/sweep

Sweep

Explicit retention-svep av ENDAST det publika planet (spec §7.2) — anropar `sweep_expired`, ALDRIG `sweep_expired_chat`. Operatörens "kör nu" för `bff_public`-schemat, utöver dygnsronden (D-94, `app/retention_sweep.py`, CronJobbet `<release>-bff-retention-sweep`), som sedan D-94 är den enda automatiska gallringsvägen för BÅDA planen. Gated på write eftersom operationen muterar (hård DELETE). Det finns INGEN manuell väg att tvinga fram en chattgallring — den vägen går bara via dygnsronden. Kalla inte denna yta "kör nu" för gallringen i stort; den rör bara publika sessioner. Tenant-scope: till skillnad från övriga ops i denna fil filtrerar INTE `sweep_expired` på tenant_id — se invarianten dokumenterad i app/public/retention.py (BFF är single-tenant-per-instans, så hela bff_public-schemat tillhör den enda tenant denna instans betjänar).

POST /api/public-sites/{site_id}/forensics/{session_id}/unlock

Unlock Forensics

Dekrypterar en publik sessions forensik-transkript åt en tenant_admin. Auditraden skrivs i SAMMA transaktion som läsningen (fail-closed: misslyckas audit-skrivningen rullas hela unlocken tillbaka — ingen tyst läsning utan spår). Svaret innehåller det dekrypterade innehållet (poängen med unlock) men det loggas ALDRIG — audit-metadata bär endast id:n + antal rader.

POST /api/public-sites/{site_id}/revoke

Revoke Site

POST /api/rag/v1/documents/file

Knowledge File

Filvägen steg 5: en fil blir ett kunskapsdokument (utkast) i samlingen. Ordningen är densamma som i uploads/file: format, skrivrätt, storlek, signatur, `decide(file_extract)` och extraktion. Därefter skapar rag-api dokumentet, och dess ingest kör pii och `knowledge_ingest` som för text.

Kropp: string application/octet-stream

DELETE /api/{service}/{path}

Passthrough Delete

GET /api/{service}/{path}

Passthrough Get

PATCH /api/{service}/{path}

Passthrough Patch

POST /api/{service}/{path}

Passthrough Post

PUT /api/{service}/{path}

Passthrough Put

GET /auth/callback

Callback

GET /auth/logged-out

Logged Out

GET /auth/login

Login

POST /auth/logout

Logout

POST /chat

Chat

Kropp: ChatRequest application/json

GET /gdpr/tenants/{tenant_id}/export

Export Tenant

POST /gdpr/users/{user_id_hash}/conversations/erase

Erase Subject Conversations

GET /gdpr/users/{user_id_hash}/conversations/export

Export Subject Conversations

GET /healthz

Healthz

GET /internal/k21/avslag

Geo Denied

POST /internal/k21/avslag

Geo Denied

GET /internal/k21/regel

Rule State

POST /internal/k21/regel

Rule Notice

Kropp: RuleNotice application/json

GET /me

Me

POST /public/chat

Public Chat

SSE-ström (spec §3.4): alltid 200 när sessionen är giltig — tak och uppströmsfel uttrycks in-stream via `degraded`, aldrig som HTTP-status efter strömöppning. Tak-hierarkin (session -> källa -> tjänst, spec §5) verkställs atomiskt i EN transaktion FÖRE uppströmsanropet: ett degraderat meddelande får aldrig räknas. Om något steg misslyckas rullas HELA transaktionen tillbaka — vid session-cap är inget inkrementerat än (ofarlig rollback), vid käll-/tjänste-cap återställer rollbacken det redan gjorda session-(och ev. käll-)inkrementet. Endast om alla tre passerar skrivs inbound-forensiken i samma transaktion och committas tillsammans med inkrementen (task 9 är därmed den enda som ökar dygnsräknarna — task 7:s mint är read-only).

Kropp: PublicChatRequest application/json

POST /public/feedback

Feedback

Kropp: PublicFeedbackCreate application/json

GET /public/service-info

Service Info

POST /public/session

Create Session

Kropp: PublicSessionRequest application/json

GET /readyz

Readyz