• Bind : loopback par défaut (127.0.0.1:7060). Ne l'exposez jamais publiquement — placez-le derrière un reverse proxy TLS ou un tunnel si l'appelant est distant.
• Auth : en-tête X-API-Key sur chaque point de terminaison sauf /health, /metrics, /stats, /dashboard. Clé vide = authentification désactivée (dev uniquement).
• Idempotence : POST /calls accepte un call_id fourni par le client ; un identifiant déjà connu renvoie 409. La génération d'identifiants uniques incombe au client.
• Secrets : tout api_key/password dans un payload est en écriture seule — supprimé du stockage, jamais renvoyé, jamais journalisé.

{
  "backend": "gemini", "model": "…",
  "objectives": "…", "first_message": "…", "language": "fr",
  "tools": [ … ], "proxy_url": "http://…/proxy",
  "callback_url": "http://…/callback?token=…",
  "recording": false
}

Correspondance SDA (multi-format)

Le champ did d'une route accepte trois formes, comparées après normalisation aux chiffres uniquement (+, espaces, points, tirets et paramètres URI supprimés) :

Résolution déterministe : exact > suffixe le plus long > *. La logique de correspondance est implémentée une seule fois, dans Strowger ; le webhook reçoit le did brut ainsi que le motif route correspondant comme clé de jointure pour le client.

À la fin de chaque appel, Strowger effectue un POST vers l'URL callback_url fournie. Aucun en-tête d'auth n'est ajouté — placez votre secret dans l'URL. Livraison : 3 tentatives avec backoff ; chaque tentative est journalisée (le CDR en base de données fait foi).

{
  "call_id": "…", "direction": "outbound|inbound",
  "status": "completed|failed|no_answer|busy|rejected",
  "sip_code": 486,
  "destination": "…", "caller_id": "…", "agent_id": "…",
  "trunk": "ovh-prod", "backend": "gemini", "model": "…",
  "cdr": { /* CDR complet, voir ci-dessous */ },
  "transcription": "…", "tool_results": [ … ],
  "recording": {                     // si recording=true
    "urls": { "mixed": "http://…/recordings/{call_id}/mixed.wav?token=…",
              "in": "…", "out": "…" },
    "expires_at": "…"                // rétention 24 h (configurable) puis purge
  }
}

Les URLs d'enregistrement sont tokenisées et expirent — téléchargez le WAV avant expires_at.

Métriques télécom, quatre modes de sortie

Chaque appel terminé produit un CDR disponible via (1) SQLite (source de vérité, GET /calls/:id), (2) le callback, (3) un CSV tournant quotidiennement data_dir/cdr/YYYY-MM-DD.csv, et (4) GET /cdrs (JSON paginé).

Le démon sert sa propre observabilité — rien à installer :

• GET /health — état global (endpoints, files d'attente, backend IA joignable).
• GET /stats — JSON structuré : enregistrements par état, appels actifs, TTFT p95, perte RTP, underruns, dispositions, derniers CDR.
• GET /dashboard — page HTML autonome (auto-refresh), lit /stats.
• GET /metrics — format Prometheus, séries préfixées sipvox_.
• GET /trunks — enregistrement par trunk, expiration, disponibilité, appels en cours.

• Caller-ID & MAN (France, depuis 2026-01) : le CLI présenté doit être un numéro natif du trunk émetteur. Présenter le numéro d'un autre opérateur → l'appel est coupé avant d'atteindre l'appelé (attestation C du mécanisme d'authentification des numéros, ≈ STIR/SHAKEN). Sur un trunk OVH, conservez la valeur par défaut.
• Plages RTP disjointes : si un autre softswitch tourne sur la même machine, conservez des plages RTP séparées (Strowger utilise par défaut 22000-22999). Une collision se manifeste par des "non-réponses" massives.
• Watchdog RTP : un appel sans RTP entrant pendant rtp_timeout_secs (par défaut 30 s) est raccroché (released_by=watchdog_rtp). Réglez sur 0 pour désactiver par appel.
• Session timers (RFC 4028) : respectés côté UAS ; un Session-Expires < 90 reçoit un 422 Min-SE: 90 ; Require: 100rel reçoit un 420 (non supporté en v1).