Skip to main content
Les clés API authentifient les requêtes adressées à l’API publique de /v1. Chaque clé appartient à un compte de service et est créée depuis la page de détails de ce compte dans le Developer Hub. Utilisez une clé API à portée restreinte pour une intégration backend privée lorsque le stockage sécurisé et la rotation d’un secret répondent à vos exigences. Aucun client OAuth ni échange de jeton n’est nécessaire. Consultez Authentification si votre organisation exige plutôt des jetons d’accès OAuth de courte durée.

​
Composition d’une clé

  • Identifiant — commence par ak_. Peut être référencé sans risque dans les tickets, les journaux et la configuration ; il ne confère aucun droit à lui seul.
  • Secret — commence par lsk_live_. Il s’agit de l’identifiant de connexion que votre intégration présente. Il est affiché une seule fois, lors de la création ou de la rotation, et ne peut pas être récupéré par la suite. La liste des clés n’affiche que les quatre derniers caractères (par exemple lsk_live_…xQc4), afin que vous puissiez associer une ligne à l’identifiant détenu par un appelant.
  • Autorisations — un sous-ensemble des autorisations du compte de service propriétaire, choisi lors de la création. Une clé ne peut jamais faire plus que ce que son compte autorise.
  • Expiration — obligatoire. Chaque clé possède une date d’expiration.
Stockez les secrets dans un gestionnaire de secrets dès qu’ils sont affichés. Ne les validez jamais dans le contrôle de version, ne les intégrez pas dans du code côté client et ne les partagez pas dans une messagerie instantanée. Toute personne détenant le secret peut agir avec les autorisations de la clé.

​
Créer une clé

Sur la page de détails du compte de service, créez une clé en suivant quatre étapes : nommez-la, sélectionnez les autorisations dont cette clé précise a besoin, choisissez une expiration — 30, 90 ou 365 jours, ou une période personnalisée pouvant aller jusqu’à un an — puis vérifiez. Le secret s’affiche une seule fois, à la fin de la procédure. Limitez chaque clé à l’ensemble d’autorisations le plus restreint dont son appelant a besoin, même lorsque le compte en autorise davantage. Si une clé fuite, ses autorisations déterminent l’étendue des dégâts.

​
Renouveler sans interruption de service

La rotation émet un nouveau secret et ouvre une fenêtre de chevauchement — 1 heure, 24 heures ou 7 jours — pendant laquelle l’ancien secret continue de fonctionner. Cela vous permet de déployer le nouveau secret dans vos environnements à votre rythme :
1

Renouveler la clé

Choisissez une fenêtre de chevauchement qui couvre votre chemin de déploiement le plus lent. Le nouveau secret n’est affiché qu’une seule fois — stockez-le immédiatement.
2

Mettre à jour vos intégrations

Remplacez l’ancien secret partout où il est configuré. Le statut de la clé indique « en chevauchement » jusqu’à la fin de la fenêtre.
3

Vérifier avant la fermeture de la fenêtre

Utilisez les journaux de requêtes pour confirmer que le trafic est passé au nouveau secret. À la fin du chevauchement, l’ancien secret cesse d’authentifier.
Renouvelez également les clés avant leur expiration : les clés approchant de leur date d’expiration sont signalées comme arrivant à expiration dans la liste des clés. Une clé expirée cesse d’authentifier — les requêtes effectuées avec elle renvoient 401 avec le code credential_expired.

​
Révoquer immédiatement

La révocation prend effet immédiatement et est définitive — il n’y a ni fenêtre de chevauchement ni possibilité d’annulation. Révoquez une clé dès que vous soupçonnez que son secret a été exposé ; effectuez plutôt une rotation lorsque vous remplacez un identifiant de connexion sain. Les requêtes effectuées avec une clé révoquée renvoient 401 avec le code credential_revoked. Si vous devez arrêter en une seule fois toutes les clés détenues par une intégration, désactivez plutôt son compte de service.