Webmail 2FA: PENDING token (parola-adımı kanıtı) → mailbox_id (Redis, 5dk TTL). Tenant mailbox'tan.
Oturum
H1/M2: güvenilir-IP throttle + spray-blok; 2FA yalnız pending ile erişilir (kimlik-doğrulamasız lockout-DoS + faktör-atlama kapalı). Geçersiz/dolmuş pending → yeniden-giriş.
İstek
curl -X POST "https://{slug}.bmail.blesyum.app/api/mail/v1/webmail/2fa" \
-H "Authorization: Bearer <oturum-token>" \
-H "Accept: application/json"Yanıt
{
"data": "…",
"trace_id": "01JC…"
}