Commencer ici
Authentification
Chaque appel porte votre clé API dans le corps de la requête. La clé identifie le compte, applique sa limite de débit et restreint chaque action aux données de ce compte.
Où placer la clé
Transmettez la clé dans le champ key du corps de la requête encodé en form-urlencoded. L'authentification par en-tête n'est pas prise en charge — la spécification v2 utilise des paramètres de corps pour rester compatible avec les SDK de revendeurs existants.
Content-Type: application/x-www-form-urlencoded
key=YOUR_API_KEY&action=servicesComment envoyer une requête
Envoyez un POST avec des champs de formulaire (application/x-www-form-urlencoded) ou un objet JSON avec les mêmes noms à plat. Le corps peut faire 32 Ko au maximum. Les paramètres inconnus sont ignorés et une valeur vide compte comme absente. Toute autre méthode est refusée avec METHOD_NOT_ALLOWED.
Ce qui est vérifié à chaque requête
La clé, le compte et l'interrupteur de l'API sont revérifiés à chaque appel : un compte suspendu ou une clé révoquée cesse donc de fonctionner immédiatement. Le compte doit être actif et son adresse e-mail vérifiée.
- 401
INVALID_KEY
Invalid API keyLa clé est absente, erronée ou révoquée. Corrigez d'abord la requête.
- 403
INACTIVE_ACCOUNT
Account suspendedLe compte est suspendu. Corrigez d'abord la requête.
- 403
EMAIL_UNVERIFIED
Email verification requiredL'adresse e-mail du compte n'est pas encore vérifiée. Corrigez d'abord la requête.
- 503
API_DISABLED
The API is temporarily disabledL'API est désactivée pour un court moment. Retry-After indique quand réessayer. Réessayer peut aider.
- 405
METHOD_NOT_ALLOWED
Use POSTLa requête n'était pas un POST. Corrigez d'abord la requête.
- 413
BODY_TOO_LARGE
Request body too largeLe corps de la requête est trop volumineux. Corrigez d'abord la requête.
key=YOUR_API_KEY&action=balance{
"error": "Invalid API key",
"error_code": "INVALID_KEY",
"retryable": false
}Créer et remplacer des clés
Les clés sont créées et révoquées depuis /dashboard/api. La clé brute n’est affichée qu’une seule fois. Le serveur conserve un vérificateur à sens unique et un identifiant court non secret ; la valeur brute ne peut donc pas être récupérée ensuite.
Maximum de 5 clés actives
par compte. Les anciennes clés peuvent être révoquées individuellement.Remplacez sans interruption.
Créez une clé de remplacement, mettez à jour votre intégration, puis révoquez l’ancienne clé. Les nouvelles requêtes utilisant une clé révoquée sont rejetées.Session active du tableau de bord requise.
La création exige une session authentifiée et non usurpée du tableau de bord. Elle n’ajoute aucune autre demande de code par e-mail ni de mot de passe.
Ce qu'une clé API ne peut pas faire
Une clé API v3 est limitée aux actions documentées et ne permet pas d'accéder à une session du tableau de bord ni aux données d'un autre compte.
- Retirer ou transférer du solde.
- Modifier l'adresse e-mail, le mot de passe ou les paramètres 2FA du compte.
- Créer ou révoquer d’autres clés API via l’API.
- Accéder aux endpoints d'administration ou de modération.
Protégez votre clé
- Côté serveur uniquement. N'intégrez jamais une clé d'API dans un bundle de navigateur, une application mobile ou tout autre client qu'un tiers pourrait décompiler.
- Utilisez des variables d'environnement. Ne validez pas vos clés dans git. Les fichiers
.envdoivent figurer dans.gitignore. - Révoquez au moindre doute. Si une clé apparaît dans un journal, une capture d’écran ou une discussion partagée, créez une clé de remplacement et révoquez la clé exposée.
- Utilisez les webhooks pour réduire l’interrogation lorsque c’est utile. La livraison est au mieux avec des nouvelles tentatives ; gardez des gestionnaires idempotents et rapprochez les états importants avec
action=status.