Authentification
Chaque appel d'API transporte un unique secret partagé — votre clé d'API — dans le corps de la requête. La clé identifie le compte appelant, applique son palier de limite de débit et restreint chaque action aux seules données de ce compte.
Où placer la clé
Transmettez la clé dans le champ key du corps de la requête encodé en form-urlencoded. L'authentification par en-tête n'est pas prise en charge — la spécification v2 utilise des paramètres de corps pour rester compatible avec les SDK de revendeurs existants.
Content-Type: application/x-www-form-urlencoded
key=YOUR_API_KEY&action=services
Génération et rotation des clés
Les clés sont générées et pivotées depuis /dashboard/api. Chaque clé ne vous est montrée qu'une seule fois lors de sa création — le tableau de bord ne conserve ensuite que le préfixe haché, si bien que vous ne pouvez pas récupérer la valeur brute.
- Maximum de 10 clés actives par compte. Les anciennes clés peuvent être révoquées individuellement.
- La régénération révoque immédiatement l'ancienne valeur. Les requêtes déjà en cours utilisant l'ancienne clé se terminent normalement ; les nouvelles requêtes reçoivent une erreur.
- Ré-authentification requise : créer ou pivoter une clé demande un nouveau mot de passe. Il s'agit d'un point de friction délibéré — les clés sont le secret le plus précieux que détient un compte.
Ce qu'une clé d'API peut faire
Une clé d'API v2 dispose de la même surface d'action que la session de tableau de bord connectée de son détenteur — elle peut passer des commandes, interroger le statut, recompléter, annuler, lire le solde et gérer les webhooks. Elle ne peut pas :
- Retirer ou transférer du solde.
- Modifier l'adresse e-mail, le mot de passe ou les paramètres 2FA du compte.
- Générer ou pivoter d'autres clés d'API.
- Accéder aux endpoints d'administration ou de modération.
Recommandations de sécurité
- Côté serveur uniquement. N'intégrez jamais une clé d'API dans un bundle de navigateur, une application mobile ou tout autre client qu'un tiers pourrait décompiler.
- Utilisez des variables d'environnement. Ne validez pas vos clés dans git. Les fichiers
.env doivent figurer dans .gitignore. - Effectuez une rotation au moindre soupçon. Si une clé est exposée dans un journal, une capture d'écran ou une conversation partagée — même brièvement — régénérez-la immédiatement.
- Privilégiez les webhooks au polling dès que possible. Interroger le statut toutes les quelques secondes épuise votre limite de débit ; les webhooks n'envoient des mises à jour que lorsqu'un changement survient.