Verdict, score /100, liquidité, concentration du top 10 et test de vendabilité.

curl -H "Authorization: Bearer $TONTON_KEY" \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/risk?mint=So11111111111111111111111111111111111111112"

{
  "mint": "So111111...1112",
  "score": 67,
  "verdict": "MANUAL REVIEW",
  "liquidityUsd": 142000,
  "topHoldersPct": 31.4,
  "sellable": true,
  "timestamp": "2026-09-02T11:00:00.000Z"
}

Renvoie le plan d'exécution protégé d'un ordre : impact de prix, tolérance de prix à inscrire, taille sûre par ordre, découpage conseillé, gain qu'un robot sandwich peut espérer, frais de priorité et pourboire de bloc privé.

curl -H "Authorization: Bearer $TONTON_KEY" \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/mev-shield?mint=<MINT>&amountUsd=2000"

{
  "mint": "<MINT>",
  "amountUsd": 2000,
  "shieldScore": 78,
  "risk": "medium",
  "verdict": "ORDRE À DÉCOUPER",
  "priceImpactPct": 1.8,
  "recommendedSlippagePct": 0.9,
  "safeSizeUsd": 1100,
  "splitOrders": 2,
  "perOrderUsd": 1000,
  "attackerProfitUsd": 10.4,
  "priorityFeeMicroLamports": 120000,
  "jitoTipSol": 0.0006
}

Note les comptes qui poussent un token : shills, comptes automatisés, rug-callers récidivistes, influenceurs à engagement anormalement bas. Chaque compte est accompagné de son historique TONTON (tokens déjà promus, dont ceux notés à haut risque) et les canaux Telegram annoncés sont vérifiés.

curl -H "Authorization: Bearer $TONTON_KEY" \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/social-radar?mint=<MINT>"

{
  "mint": "<MINT>",
  "manipulationScore": 68,
  "verdict": "PROMOTION ORGANISÉE",
  "stats": {
    "accountsSeen": 34,
    "shills": 9,
    "bots": 3,
    "rugCallers": 2,
    "suspiciousInfluencers": 1,
    "manufacturedPostPct": 61,
    "tokenScore": 38
  },
  "accounts": [
    {
      "handle": "some_account",
      "risk": 82,
      "labels": ["shill", "rug-caller"],
      "followers": 1840,
      "postsOnToken": 6,
      "knownMints": 7,
      "riskyMints": 3
    }
  ],
  "telegram": [
    { "handle": "sometoken", "members": 214, "status": "ok" }
  ]
}

Applique tes règles de listing (liquidité minimale, concentration maximale, mint authority, honeypot, score, âge) et retourne APPROVE, MANUAL_REVIEW ou REJECT avec les preuves. Configure tes règles sur /enterprise/listing-gate.

curl -H "Authorization: Bearer $TONTON_KEY" \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/listing-gate?mint=<MINT>&configId=<UUID>"

Envoie jusqu'à 50 mints, récupère un identifiant de job, puis interroge son avancement.

curl -X POST -H "Authorization: Bearer $TONTON_KEY" \
  -H "Content-Type: application/json" \
  -d '{"mints":["<MINT_1>","<MINT_2>"]}' \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/bulk-scan"

curl -H "Authorization: Bearer $TONTON_KEY" \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/bulk-scan/jobs/<JOB_ID>"

Appelle cet endpoint juste avant de demander la signature du wallet. TONTON simule la transaction on-chain sans la diffuser et renvoie ALLOW, WARN, BLOCK ou UNKNOWN, avec les autorités de token touchées, les programmes inconnus, les transferts inattendus et l'écart avec l'action annoncée. Le champ expected est optionnel : s'il est fourni, TONTON compare le résultat simulé à ce que ton application prétend faire.

curl -X POST -H "Authorization: Bearer $TONTON_KEY" \
  -H "Content-Type: application/json" \
  -d '{"transaction":"<TX_BASE64_NON_SIGNEE>",
       "expected":{"action":"swap 1 SOL -> BONK","mint":"<MINT>","maxSolOut":1.05}}' \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/firewall"

Intégration côté dApp :

const tx = await buildSwapTransaction(...)
const b64 = Buffer.from(tx.serialize({ requireAllSignatures: false })).toString("base64")

const res = await fetch("/api/tonton-firewall", {
  method: "POST",
  body: JSON.stringify({ transaction: b64, expected: { mint, maxSolOut: 1.05 } }),
}).then((r) => r.json())

if (res.verdict === "BLOCK") return showBlockingModal(res.findings)
if (res.verdict === "WARN") await confirmWithUser(res.findings)
await wallet.signTransaction(tx)

Réponse : verdict, risk (0-100), simulated, findings[] (code, severity, title, detail), programs[], solDelta, tokenDeltas[]. Codes de finding stables : authority_change, freeze_authority, delegation, unknown_program, unexpected_token_transfer, large_sol_outflow, outcome_differs, simulation_failed. TONTON ne bloque jamais silencieusement : si la simulation est impossible, le verdict est UNKNOWN et à toi de décider.

Execution protection. Quand la transaction contient un swap identifié, la réponse porte en plus un bloc execution : sandwichExposure (high / medium / low), slippagePct décodé depuis l'instruction de swap, expectedOutUi (sortie simulée) et worstOutUi (plancher réellement garanti par le minOut signé), mevProtection (on / partial / off, d'après la présence d'un tip Jito et d'un compte marqueur jitodontfront), jitoTipSol, dontFront, priorityFee (prix par unité de calcul, coût en SOL, verdict, médiane réseau observée) et recommendations[] avec des valeurs concrètes à appliquer. Nouveaux codes de finding : sandwich_exposure, high_slippage, abnormal_priority_fee. TONTON ne reconstruit ni ne signe ta transaction : il dit quoi corriger avant envoi. Ce qui n'est pas décodable reste à null, jamais estimé.

"execution": {
  "isSwap": true,
  "dexName": "Jupiter Aggregator v6",
  "sandwichExposure": "high",
  "slippagePct": 8,
  "expectedOutUi": 1284.42,
  "worstOutUi": 1181.66,
  "mevProtection": "off",
  "jitoTipSol": null,
  "dontFront": false,
  "priorityFee": { "microLamports": 0, "computeUnits": null, "solCost": 0, "verdict": "low", "networkMedian": 12500 },
  "recommendations": [
    { "code": "reduce_slippage", "value": "slippageBps: 100 (1 %) — 50 sur les paires liquides" },
    { "code": "enable_jito_protection", "value": "tip >= 0.0005 SOL -> 96gYZGLnJYVFmbjzopPSU6QiEV5fGqZNyN9nmNhvrZU5" },
    { "code": "set_priority_fee", "value": "SetComputeUnitPrice: 25000 µlamports/CU" }
  ]
}

Historique des événements détectés en continu. Filtres : mint, kind, severity (gravité minimale), since (date ISO), limit (1 à 200, 50 par défaut). Le champ cursor renvoyé se repasse en since pour ne récupérer que le nouveau.

curl -H "Authorization: Bearer $TONTON_KEY" \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/events?severity=critical&limit=20"

{
  "events": [
    {
      "id": "3f1c...",
      "mint": "So111111...1112",
      "kind": "liquidity.drop",
      "severity": "critical",
      "title": "Liquidité en chute",
      "message": "Liquidité en chute de 45 % — score 82 → 54.",
      "score": 54,
      "previousScore": 82,
      "liquidityUsd": 41200,
      "previousLiquidityUsd": 74900,
      "data": {},
      "createdAt": "2026-09-03T16:20:00.000Z"
    }
  ],
  "count": 1,
  "cursor": "2026-09-03T16:20:00.000Z"
}

Aucune clé API : un rapport doit pouvoir être contrôlé par n'importe qui. Retourne le document canonique, son empreinte SHA-256, la signature Ed25519, la clé publique et le résultat de la revérification côté serveur. Réponse mise en cache 5 minutes, 120 vérifications par adresse IP toutes les 10 minutes. Le rapport lisible est sur /audit/<REPORT_ID>.

curl "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/audit/<REPORT_ID>"

{
  "reportId": "0f7e...c31a",
  "issuedAt": "2026-09-03T18:04:00.000Z",
  "document": { "version": "zayko-audit-1", "issuer": "Tonton Wallat Lab", "score": 78, "verdict": "RISQUE FAIBLE" },
  "digest": "9c1b...",
  "signature": "5Kd3...",
  "algorithm": "Ed25519",
  "keyId": "a71f3c0b9d22",
  "publicKey": "8Wq2...",
  "verification": { "digestMatches": true, "signatureValid": true }
}

Server-Sent Events : chaque nouveau token Solana noté dès sa détection. Pas de clé API, 20 connexions par adresse IP toutes les 10 minutes. Variante par adresse : GET /api/public/scan-stream?address=<MINT> remplit le dossier pièce par pièce au lieu d'attendre la fin de l'analyse.

curl -N "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/live-feed"

data: {"type":"token","mint":"So111111...1112","score":41,"verdict":"HAUT RISQUE"}
data: {"type":"end"}

Active une offre sur une clé après un paiement en $TONTON. Deux preuves sont exigées : le secret de la clé concernée et la transaction elle-même, vérifiée on-chain et utilisable une seule fois.

curl -X POST -H "Content-Type: application/json" \
  -H "Authorization: Bearer <TON_SECRET_DE_CLE>" \
  -d '{"keyId":"<KEY_UUID>","planId":"<PLAN_UUID>","signature":"<TX_SIGNATURE>"}' \
  "https://project--95462de0-d34d-43ed-8465-db9987a4db07.lovable.app/api/public/enterprise-payment"