Aller au contenu
FREN

Clés API

Le jeton cryptographique qui identifie vos systèmes lorsqu’ils interagissent avec Cord.

Fonctionnement des clés

L’onglet Clés API du Workbench en plein écran : en haut, 3 412 requêtes API utilisées sur 5 000 ce mois-ci et la version 2026-10-01 ; en dessous, des clés secrètes, restreinte et publiable en production et en test, chacune avec son jeton masqué et ses 4 derniers caractères, ses droits, sa dernière utilisation, sa création et son expiration, plus une connexion OAuth et une clé révoquée.

Toute requête programmatique à l’API de Cord exige une clé API. Vous pouvez les gérer, les révoquer et suivre leur utilisation depuis l’onglet Clés API du Cord Workbench — la pastille « Développeurs » dans le coin inférieur droit de l’application, qui apparaît lorsque vous activez le Mode développeur dans Votre compte › Préférences.

Par sécurité, les systèmes de Cord stockent votre clé API sous forme de hash (sha-256) irréversible. La clé en clair (la chaîne qui commence par sk_..., rk_... ou pk_...) ne vous est affichée qu’une seule fois, au moment de sa création. Si vous la perdez, il est impossible de la récupérer : vous devrez la révoquer et en générer une nouvelle.

Confirmation d’identité

Créer ou renouveler une clé, et modifier ses droits, ses IP autorisées ou ses outils MCP, vous demande de confirmer votre identité avec votre mot de passe, ou avec le code de votre application d’authentification si votre compte n’utilise pas de mot de passe. La confirmation est valable 10 minutes. Une clé continue de fonctionner même après la fin de la session qui l’a créée : Cord ne laisse donc pas une session que personne n’a confirmée récemment en créer une. Si votre compte n’a ni mot de passe ni code de vérification, déconnectez-vous puis reconnectez-vous : la connexion vaut confirmation pendant ces 10 minutes. Renommer ou révoquer une clé ne la demande pas.

Bonnes pratiques de sécurité

Ne versionnez pas les clés secrètes dans des dépôts

Ne committez jamais (par ex. dans Git) une clé qui commence par sk_live_. Si un dépôt public expose votre clé, n’importe qui peut l’utiliser avec les mêmes droits que votre backend jusqu’à ce que vous la révoquiez manuellement depuis le Workbench — Cord ne la détecte pas et ne la suspend pas à votre place. Utilisez des variables d’environnement (comme des fichiers .env non versionnés) sur vos serveurs et consultez le journal d’activité de la clé si vous soupçonnez une fuite.

Utilisez la bonne portée (publiable ou secrète)

  • Clés secrètes (sk_) : elles accèdent à toute l’API, en lecture seule ou en lecture et écriture selon la portée que vous choisissez à leur création. Elles ne doivent résider que sur des serveurs backend sous votre contrôle.
  • Clés restreintes (rk_) : elles sont aussi destinées au serveur, mais avec un droit par ressource (none, read ou write). Voir les clés restreintes.
  • Clés publiables (pk_) : conçues pour être injectées sans risque dans des applications web (frontend). Cord applique automatiquement des restrictions sur ce que ces clés peuvent voir, ou masque les champs sensibles (comme le coût et la marge des produits), lorsqu’il reçoit une requête signée avec elles.

Activité en temps réel

L’onglet Journaux du Workbench est un journal d’audit en direct de l’utilisation de chaque clé : filtrez par méthode ou par classe de statut, cherchez par route et sélectionnez n’importe quelle requête pour voir quelle IP, quelle clé et quel flux (API REST ou MCP) l’a émise. Les appels MCP apparaissent avec l’outil invoqué, par exemple /mcp/tools/call:listar_productos.