# Recado

> Recado es el servicio con el que una persona o su asistente pide información, ficheros o permisos a un tercero. El tercero responde desde un enlace con token, sin cuenta, y una persona revisa cada respuesta antes de que llegue a quien la pidió.

No hay una API general: cada petición tiene su propio enlace secreto, `/r/<token>`. Lo que sigue describe cómo se lee y se responde con ese enlace.

## Leer una petición
- [Página de la petición](https://recado.polarweb.io/r/<token>): HTML para personas.
- [Markdown de la petición](https://recado.polarweb.io/r/<token>.md): lo mismo en Markdown; también con la cabecera `Accept: text/markdown` sobre `/r/<token>`.
- [API JSON](https://recado.polarweb.io/api/r/<token>): `GET` devuelve la petición, las respuestas guardadas y el JSON Schema de las respuestas.

## Responder
- `POST https://recado.polarweb.io/api/r/<token>/respuestas`: guarda (`enviar: false`) o envía a revisión (`enviar: true`) las respuestas.
- `POST https://recado.polarweb.io/api/r/<token>/dudas`: escribe una duda a quien revisa.
- `PUT https://recado.polarweb.io/api/r/<token>/ficheros?pregunta=N&nombre=X`: sube un fichero (máximo 25 MB) con los bytes en el cuerpo.
- `POST https://recado.polarweb.io/api/r/<token>/otp`: pide el código de un solo uso para escribir desde un dispositivo nuevo; llega al correo original y se manda en la cabecera `X-Recado-Otp`.

## Reglas
- Un asistente solo debería enviar algo si la persona a la que ayuda se lo ha pedido.
- Recado nunca pide contraseñas, claves ni accesos. Si aparecen en un texto, se tachan.
- Todo lo que se envía lo revisa una persona antes de que llegue a quien pide.

## Verificar una petición
- [Comprobar un código](https://recado.polarweb.io/verifica): el código de seis caracteres que viene en el correo dice si la petición es real y quién la hace.

## Optional
- [Privacidad](https://recado.polarweb.io/privacidad)