web

API privée de web, l’application principale d’Overleaf. Les autres services (real-time, document-updater, project-history, third-party-datastore, git-bridge) et les scripts cron de l’image Server CE l’appellent. Ces routes n’exigent que l’authentification HTTP basique, sans jeton CSRF : le routeur privé est monté avant le routeur web, et seul le routeur web effectue la vérification CSRF. Avec BLOCK_CROSS_ORIGIN_REQUESTS=true (désactivé par défaut), web renvoie 403 pour toute requête dont l’en-tête Origin ne figure pas dans ALLOWED_ORIGINS (par défaut : l’URL du site). Les navigateurs envoient Origin sur les POST ; avec ce réglage activé, les POST envoyés depuis Hoppscotch dans le navigateur obtiennent donc 403, sauf s’ils passent par le proxy Hoppscotch.

• Adresse : http://web:3000, dans le réseau Docker
• Authentification : authentification HTTP basique avec WEB_API_USER et WEB_API_PASSWORD, sauf pour status, health et metrics. Les routes git-bridge utilisent à la place un jeton d’accès personnel.
• Fichier OpenAPI : develop/hoppscotch/openapi/web.yaml