Aller au contenu
FREN

Clés API

Le jeton cryptographique qui identifie vos systèmes lorsqu’ils interagissent avec Cord.

Fonctionnement des clés

L’onglet Clés API du Workbench en plein écran : en haut, 3 412 requêtes API utilisées sur 5 000 ce mois-ci et la version 2026-10-01 ; en dessous, des clés secrètes, restreinte et publiable en production et en test, chacune avec son jeton masqué et ses 4 derniers caractères, ses droits, sa dernière utilisation, sa création et son expiration, plus une connexion OAuth et une clé révoquée.

Toute requête programmatique à l’API de Cord exige une clé API. Vous pouvez les gérer, les révoquer et suivre leur utilisation depuis l’onglet Clés API du Cord Workbench — la pastille « Développeurs » dans le coin inférieur droit de l’application, qui apparaît lorsque vous activez le Mode développeur dans Votre compte › Préférences.

Par sécurité, les systèmes de Cord stockent votre clé API sous forme de hash (sha-256) irréversible. La clé en clair (la chaîne qui commence par sk_..., rk_... ou pk_...) ne vous est affichée qu’une seule fois, au moment de sa création. Si vous la perdez, il est impossible de la récupérer : vous devrez la révoquer et en générer une nouvelle.

Bonnes pratiques de sécurité

Ne versionnez pas les clés secrètes dans des dépôts

Ne committez jamais (par ex. dans Git) une clé qui commence par sk_live_. Si un dépôt public expose votre clé, n’importe qui peut l’utiliser avec les mêmes droits que votre backend jusqu’à ce que vous la révoquiez manuellement depuis le Workbench — Cord ne la détecte pas et ne la suspend pas à votre place. Utilisez des variables d’environnement (comme des fichiers .env non versionnés) sur vos serveurs et consultez le journal d’activité de la clé si vous soupçonnez une fuite.

Utilisez la bonne portée (publiable ou secrète)

  • Clés secrètes (sk_) : elles accèdent à toute l’API, en lecture seule ou en lecture et écriture selon la portée que vous choisissez à leur création. Elles ne doivent résider que sur des serveurs backend sous votre contrôle.
  • Clés restreintes (rk_) : elles sont aussi destinées au serveur, mais avec un droit par ressource (none, read ou write). Voir les clés restreintes.
  • Clés publiables (pk_) : conçues pour être injectées sans risque dans des applications web (frontend). Cord applique automatiquement des restrictions sur ce que ces clés peuvent voir, ou masque les champs sensibles (comme le coût et la marge des produits), lorsqu’il reçoit une requête signée avec elles.

Activité en temps réel

L’onglet Journaux du Workbench est un journal d’audit en direct de l’utilisation de chaque clé : filtrez par méthode ou par classe de statut, cherchez par route et sélectionnez n’importe quelle requête pour voir quelle IP, quelle clé et quel flux (API REST ou MCP) l’a émise. Les appels MCP apparaissent avec l’outil invoqué, par exemple /mcp/tools/call:listar_productos.