Clés API

Les clés API permettent à vos propres outils d'interroger la plateforme. Elles se gèrent depuis Clés API, dans le portail.

Créer une clé

À la création, donnez un nom à la clé. Choisissez-le explicite — c'est le seul moyen de savoir plus tard à quoi elle servait, et donc de pouvoir la révoquer sans risque.

La clé complète s'affiche une seule fois, juste après sa création.

Le préfixe

La liste des clés affiche un préfixe de huit caractères. C'est ce qui vous permet d'identifier une clé sans la connaître — par exemple pour vérifier laquelle apparaît dans les journaux d'un de vos scripts avant de la révoquer.

Bonnes pratiques

• Une clé par usage. Une clé par script ou par intégration, pas une clé unique partagée : vous pouvez ainsi en révoquer une sans interrompre les autres.
• Jamais dans un dépôt de code. Passez par les variables d'environnement ou le gestionnaire de secrets de votre infrastructure.
• Révoquez au départ d'un collaborateur. Retirer son accès au portail ne désactive pas les clés qu'il a créées.

Journalisation

Les appels à l'API sont journalisés avec leur durée. Les champs sensibles — jeton, mot de passe, clé d'API, jeton de licence, en-têtes d'autorisation et cookies — sont expurgés avant écriture. Vos secrets n'apparaissent donc pas en clair dans les journaux, y compris les nôtres.

Limite de débit

Les appels à l'API sont limités à 60 requêtes par minute et par adresse IP. Au-delà, les requêtes sont refusées jusqu'à la fenêtre suivante.

Si votre intégration doit traiter un volume important, étalez vos appels plutôt que de les lancer en rafale — et prévoyez une reprise sur refus, votre script n'ayant aucune raison de s'arrêter définitivement sur une limite temporaire.