Skip to main content
Les clés API authentifient les requêtes adressées à l’API publique de /v1. Chaque clé appartient à un compte de service et est créée à partir de la page de détails de ce compte dans le Developer Hub. Utilisez une clé API à portée restreinte pour une intégration backend privée lorsque le stockage sécurisé et le renouvellement d’un secret répondent à vos exigences. Aucun client OAuth ni échange de jetons n’est nécessaire. Consultez Authentification si votre organisation exige plutôt des jetons d’accès OAuth de courte durée.

​
Composition d’une clé

  • Identifiant — commence par ak_. Peut être référencé sans risque dans les billets, les journaux et les configurations; il n’accorde aucun accès à lui seul.
  • Secret — commence par lsk_live_. Il s’agit de l’identifiant d’authentification que votre intégration présente. Il n’est affiché qu’une seule fois, lors de la création ou du renouvellement, et ne peut pas être récupéré par la suite. La liste des clés n’affiche que les quatre derniers caractères (par exemple lsk_live_…xQc4) afin que vous puissiez associer une ligne à la clé détenue par un appelant.
  • Autorisations — un sous-ensemble des autorisations du compte de service propriétaire, choisi lors de la création. Une clé ne peut jamais faire plus que ce que son compte permet.
  • Expiration — obligatoire. Chaque clé possède une date d’expiration.
Stockez les secrets dans un gestionnaire de secrets dès qu’ils sont affichés. Ne les versez jamais dans le contrôle de version, ne les intégrez pas dans du code côté client et ne les partagez pas dans un clavardage. Toute personne qui détient le secret peut agir avec les autorisations de la clé.

​
Créer une clé

Sur la page de détails du compte de service, créez une clé en suivant quatre étapes : nommez-la, sélectionnez les autorisations dont cette clé précise a besoin, choisissez une expiration — 30, 90 ou 365 jours, ou une période personnalisée allant jusqu’à un an — puis vérifiez. Le secret s’affiche une seule fois, à la fin du processus. Limitez chaque clé à l’ensemble d’autorisations le plus restreint dont son appelant a besoin, même lorsque le compte en permet davantage. Si une clé fuit, ses autorisations déterminent l’étendue des dégâts.

​
Renouveler sans interruption de service

Le renouvellement émet un nouveau secret et déclenche une période de chevauchement — 1 heure, 24 heures ou 7 jours — pendant laquelle l’ancien secret continue de fonctionner. Vous pouvez ainsi déployer le nouveau secret dans vos environnements à votre rythme :
1

Renouveler la clé

Choisissez une période de chevauchement qui couvre votre chemin de déploiement le plus lent. Le nouveau secret n’est affiché qu’une seule fois : stockez-le immédiatement.
2

Mettre à jour vos intégrations

Remplacez l’ancien secret partout où il est configuré. Le statut de la clé indique qu’elle est en chevauchement jusqu’à la fin de la période.
3

Vérifier avant la fin de la période

Utilisez les journaux de requêtes pour confirmer que le trafic est passé au nouveau secret. À la fin du chevauchement, l’ancien secret n’authentifie plus les requêtes.
Renouvelez également avant l’expiration : les clés approchant de leur date d’expiration sont signalées comme arrivant à expiration dans la liste des clés. Une clé expirée n’authentifie plus les requêtes : les requêtes effectuées avec celle-ci renvoient 401 avec le code credential_expired.

​
Révoquer immédiatement

La révocation prend effet immédiatement et est permanente : il n’y a ni période de chevauchement ni possibilité d’annuler. Révoquez une clé dès que vous soupçonnez que son secret a été exposé; renouvelez-la plutôt lorsque vous remplacez un identifiant d’authentification sain. Les requêtes effectuées avec une clé révoquée renvoient 401 avec le code credential_revoked. Si vous devez arrêter en une seule fois toutes les clés détenues par une intégration, désactivez plutôt son compte de service.