api-tokens · HMAC verify-signature
Plak een token-string (tok_…, uit create). De server ondertekent hier een voorbeeld-request (HMAC-SHA256, het TMM-schema) en laat Adrifact de handtekening verifiëren — het geheim gaat dus nooit over de lijn. Met de sabotage-knoppen zie je elke afwijzing.
Verwacht: geldig → ok: true + scopes · tamper → signature_mismatch · stale → stale_timestamp · replay (zelfde nonce 2×) → replay. NB: tokens van vóór ADRI-65 geven not_hmac_capable.