Saku Method API

Introduction

L'API Saku expose trois surfaces distinctes :

• Client — appelée depuis ton application déployée (aimbot, unlock, spoofer). Activation, heartbeat, validation HWID.
• Admin — appelée depuis le panel ou tes scripts backend. Nécessite un Bearer token.
• Reseller — appelée depuis le panel revendeur. Session par token opaque après login username/password.

Base URL

Toutes les requêtes sont HTTPS en production. En local (dev) : http://localhost:5000.

Endpoints Client

Deux endpoints pour intégrer le lock HWID dans ton binaire. Aucune authentification préalable — la clé fait office de credential.

POST /api/v1/default/activate
Content-Type: application/json

{
  "key": "SAKU-XXXX-XXXX-XXXX-XXXX",
  "hwid": "unique-device-id",
  "version": "1.0",       // optionnel
  "nonce": "a1b2c3"        // optionnel · anti-rejeu
}

{
  "success": true,
  "session_id": "...",
  "expires_at": 1792606647,
  "plan": "premium",
  "nonce": "a1b2c3",
  "_ts": "1790015301",
  "_sig": "7f4a...b0e2"
}

// libcurl + nlohmann/json
#include <curl/curl.h>
#include <nlohmann/json.hpp>

nlohmann::json body = {
  {"key", "SAKU-XXXX-XXXX-XXXX-XXXX"},
  {"hwid", get_hwid()}
};

CURL* c = curl_easy_init();
curl_easy_setopt(c, CURLOPT_URL,
  "https://.../api/v1/default/activate");
curl_easy_setopt(c, CURLOPT_POSTFIELDS, body.dump().c_str());
curl_easy_perform(c);

using System.Net.Http;
using System.Text.Json;

var client = new HttpClient();
var body = new {
  key = "SAKU-XXXX-XXXX-XXXX-XXXX",
  hwid = GetHwid()
};
var res = await client.PostAsJsonAsync(
  "https://.../api/v1/default/activate", body);
var data = await res.Content.ReadFromJsonAsync<JsonElement>();

import requests, uuid

r = requests.post(
  "https://.../api/v1/default/activate",
  json={
    "key": "SAKU-XXXX-XXXX-XXXX-XXXX",
    "hwid": get_hwid(),
    "nonce": uuid.uuid4().hex
  }
)
data = r.json()
assert data["success"]

POST /api/v1/default/heartbeat
Content-Type: application/json

{
  "session_id": "...",
  "hwid": "unique-device-id"
}

// Réponse
{
  "success": true,
  "expires_at": 1792606647,
  "_ts": "1790015420",
  "_sig": "..."
}

Vérifier la signature

Chaque réponse signée contient _sig et _ts. _sig = HMAC-SHA256(app_secret, _ts + JSON), où JSON est la réponse SANS _sig ni _ts, clés triées et séparateurs compacts.

Pourquoi ? Sans ça, un attaquant proxy peut modifier une réponse "banned: true" en "banned: false". Avec la sig, toute modification casse le HMAC et ton client refuse la réponse.

import hashlib, hmac, json

def verify(response: dict, secret: str) -> bool:
    data = dict(response)
    sig, ts = data.pop("_sig", ""), data.pop("_ts", "0")
    body = json.dumps(data, separators=(",", ":"), sort_keys=True)
    expected = hmac.new(secret.encode(),
                       (ts + body).encode(),
                       hashlib.sha256).hexdigest()
    return hmac.compare_digest(sig, expected)

Endpoints Admin

Tous les endpoints admin nécessitent le header Authorization: Bearer {ADMIN_TOKEN}. Le token est défini via la variable d'environnement SAKU_ADMIN_TOKEN.

{
  "count": 10,
  "days": 30,
  "plan": "standard",   // standard | premium | lifetime
  "app_id": "default",
  "note": "batch janvier"
}

Endpoints Reseller

Un revendeur se connecte avec un couple username / password, reçoit un token opaque à passer dans chaque requête suivante.

{ "username": "toto", "password": "..." }

// Réponse
{
  "success": true,
  "token": "48-char-hex-session-token",
  "quota": 100,
  "used": 12,
  "app_id": "valorant-internal",
  "plan": "standard"
}

{ "token": "...", "count": 3, "days": 30 }

{ "token": "..." }

Codes d'erreur

Structure standard : { "success": false, "error": "..." } ou { "success": false, "message": "..." }.

• 400 — paramètres manquants ou invalides
• 401 — Bearer token absent ou incorrect (endpoints admin)
• 403 — clé bannie, expirée, ou HWID mismatch
• 404 — ressource introuvable
• 409 — conflit (app déjà existante par exemple)
• 429 — rate limit dépassé

Rate limits

Pour protéger le backend contre le brute-force :

• Activate : 10 tentatives échouées / 5 min par IP
• Login (admin & reseller) : 5 tentatives échouées / 15 min par IP
• Heartbeat : pas de limit stricte, mais espace tes appels au minimum 60s