Skip to main content
Chaque requête doit prouver qui elle est avec une clé d’API, envoyée dans l’en-tête Authorization.

​
Format d’une clé

Une clé ressemble à psk_<identifiant>_<secret> : un préfixe, un identifiant public de 16 caractères, puis un secret de 256 bits. Seul un haché du secret est conservé : même une fuite de base de données ne donnerait aucune clé utilisable.
La clé complète n’est affichée qu’une seule fois, à la création. Si vous la perdez, créez-en une nouvelle et révoquez l’ancienne.

​
Une clé = une boutique

Chaque clé est liée à une boutique. Elle ne peut lire ni modifier les données d’une autre boutique, même si elles vous appartiennent. Si vous gérez plusieurs boutiques, créez une clé par boutique.

​
Créer et gérer vos clés

Dans le tableau de bord, ouvrez Développeurs & API, puis Nouvelle clé. Vous choisissez :
​
string
required
Un nom clair (60 caractères maximum) : « Serveur de licences », « Zapier ». Il vous aidera à retrouver quelle clé fait quoi.
​
liste
required
Cochez le strict nécessaire. Voir Permissions.
​
1 à 730 jours
Optionnelle. Après cette durée, la clé est refusée automatiquement. Idéal pour un prestataire temporaire.
​
liste
Optionnelle (20 entrées maximum) : adresses IPv4, plages a.b.c.d/n (de /8 à /32) ou adresses IPv6 exactes. Vide = toutes les adresses. Une requête venant d’une autre adresse reçoit 403 ip_not_allowed.
Vous pouvez avoir jusqu’à 10 clés actives par boutique. Le tableau de bord indique pour chaque clé sa dernière utilisation, l’adresse détectée et le nombre de requêtes : une activité inattendue est un signal de fuite.

​
Si une clé est compromise

1

Révoquez-la immédiatement

Dans Développeurs & API, révoquez la clé. Elle est refusée dès la requête suivante (401 api_key_revoked).
2

Créez une clé de remplacement

Avec les mêmes permissions, idéalement restreinte à vos adresses IP.
3

Mettez à jour votre serveur

Remplacez la variable d’environnement puis redéployez.

​
Erreurs d’authentification

Trop d’essais avec des clés inventées depuis une même adresse sont limités à 30 par minute.