Authentification
- Authorization: ApiKey
- La clé API est envoyée exclusivement dans l'en-tête Authorization de POST /api/v1/auth/token. Ne la placez pas dans le JSON, une URL ou les paramètres de requête.
- Authorization: Bearer
- Utilisez le jeton retourné pour accéder aux ressources et renouvelez-le selon expires_at ; expires_in est exprimé en secondes.
Pourquoi obtenir d’abord un jeton ?
Votre clé API sert à obtenir un jeton. Celui-ci est valable 15 minutes et peut servir à plusieurs requêtes. Pour accéder aux ressources, envoyez uniquement le jeton dans l’en-tête Authorization: Bearer.
Les requêtes courantes ne contiennent pas votre clé API. Un jeton divulgué ne permet un accès que jusqu’à son expiration. Une clé API volée peut toutefois permettre d’obtenir de nouveaux jetons.
Quelle est la durée de validité du jeton ?
- expires_in
- 900 secondes, soit 15 minutes après son émission. Les requêtes ne prolongent pas sa validité.
- expires_at
- Date et heure d’expiration en UTC. Les restrictions d’accès en vigueur peuvent bloquer le jeton plus tôt.
Quand obtenir un nouveau jeton ?
Réutilisez le jeton pour plusieurs requêtes et obtenez-en un nouveau avant expires_at. Il est inutile d’en demander un avant chaque opération. Utilisez votre clé API pour obtenir le nouveau jeton.
Accès refusé et nouvelles tentatives
- 401
- 401 ne signifie pas toujours que le jeton a expiré. S’il a expiré, obtenez-en un nouveau et réessayez la lecture une seule fois. Si l’obtention du jeton renvoie 401, vérifiez la clé et arrêtez les tentatives automatiques.
- 403
- En cas de 403, vérifiez les permissions, les restrictions IP et l’offre. Un nouveau jeton ne rétablit pas un accès révoqué.
Restrictions IP
- Un jeton ne contourne pas les autorisations actuelles de la clé, les droits du forfait, la révocation ou les restrictions IP.
- Si nécessaire, limitez la clé aux adresses sources de l'intégration.
- Les administrateurs habilités peuvent modifier cette liste ; elle accepte au maximum 32 adresses.
Gestion des clés
- La gestion des clés est distincte des autorisations de l'intégration sur les ressources.
- Seul owner peut accorder aux groupes les droits administratifs de consultation, création, modification ou suppression des clés.
- Les membres ne peuvent effectuer que les actions accordées à leur groupe.
Limites de requêtes
Engine ≥ 4.143.0. Chaque réponse de jeton contient data.rate_limits issu de la politique de la boutique au moment de son émission. Toutes les clés partagent ces quotas ; un nouveau jeton ne les réinitialise pas. Un changement d’offre peut s’appliquer avant l’expiration du jeton.
- read_per_minute
- Requêtes de lecture par minute.
- write_per_minute
- Requêtes d’écriture par minute ; cette valeur n’accorde aucun droit d’écriture.
- auth_per_minute
- Demandes de jeton par minute, y compris les tentatives d’authentification échouées.