Authentification et clés API

Vos clés API sont la porte d’entrée de votre compte. Traitez-les avec le même soin que le mot de passe de votre base de données.

Où les générer

Activez le Mode développeur (Votre compte › Préférences) et ouvrez l’onglet Clés API du Workbench Développeurs, la pastille qui apparaît dans le coin inférieur de l’écran (/app?wb=api). C’est là que vous créez de nouvelles clés, choisissez leur portée (lecture ou écriture) et les révoquez. La clé secrète n’est affichée qu’une seule fois lors de sa création ; conservez-la dans un gestionnaire de secrets, jamais dans le code source.

Authentification

L’API est une API REST sur HTTPS. Chaque requête transmet votre clé dans l’en-tête Authorization :

curl https://cordhq.app/api/v1/me \
  -H "Authorization: Bearer sk_live_your_key"

Réponse :

{ "org": { "id": "...", "nombre": "Your Business", "plan": "pro" }, "scope": "write", "mode": "live" }

Environnements (live et test)

Lorsque vous créez une clé, vous choisissez son mode :

• Test (sk_test_...) : ne consomme pas votre compteur d’utilisation de l’API et n’est pas pris en compte dans votre facturation. Opère sur l’environnement de test de votre compte (une organisation miroir, isolée de vos données réelles — le même mécanisme que l’interrupteur « Environnement de test » du sélecteur d’organisation). Le premier appel avec une clé de test crée cette organisation miroir si elle n’existe pas encore. Le fait que le timbrage CFDI soit réel ou simulé dépend de la connexion de votre CSD, et non du mode de la clé. Voir Tester Cord sans affecter votre production.
• Live (sk_live_...) : à utiliser en production. Chaque appel est décompté de la consommation de votre offre.

Portées (scopes)

• Lecture (read) : consulter les devis, les clients, les produits et les créances.
• Écriture (write) : permet en plus de créer des devis, des clients et des produits.

Connexions autorisées

Zapier et Make n’utilisent pas de clés : ils se connectent en un clic depuis un écran de Cord. Chaque connexion apparaît dans la même liste en tant que Connexion autorisée, avec le nom de l’application, et n’est pas décomptée du nombre de clés de votre offre. Pour couper l’accès d’une application, révoquez sa connexion comme une clé ; l’application vous demandera de l’autoriser à nouveau.

Renouvellement des clés

Si une clé a fuité (par exemple, publiée par erreur sur GitHub), ou s’il est simplement temps de la changer :

1. Ouvrez l’onglet Clés API du Workbench (activez-le dans Votre compte › Préférences si vous ne le voyez pas).
2. Cliquez sur Renouveler sur la clé. Cord génère une nouvelle clé et vous laisse choisir pendant combien de temps l’ancienne continue de fonctionner : pas du tout, 1 heure, 24 heures ou 7 jours, afin que vous puissiez mettre à jour vos serveurs sans interrompre le trafic.
3. Si la clé a été exposée, renouvelez-la sans période de grâce ou révoquez-la : la révocation est immédiate et toute requête utilisant cette clé renverra 401.