x-api-key. C'est le seul mécanisme d'authentification : pas d'OAuth, pas de JWT, pas de session. Une clé n'est jamais retenue d'un appel à l'autre : chaque requête présente la sienne.
Bearer ou autre) :x-api-key: VOTRE_CLE_APIEXOCONNECT_API_KEY) ou un coffre de secrets, jamais dans le code source. Excluez l'en-tête x-api-key de vos journaux.| Portée | Autorise | Sans elle |
|---|---|---|
| Lecture | Toutes les requêtes GET | — |
| Écriture | POST, PUT, PATCH, DELETE | 403 « Cette clé API ne permet pas l'écriture », avant tout dialogue avec Acomba |
Données de paie sensibles (payroll:sensitive) | Voir le NAS, les coordonnées bancaires et les cumulatifs des employés ; créer un employé avec son NAS | Ces champs sont masqués dans les réponses. Une clé à qui cette portée a été explicitement refusée ne peut pas créer d'employé avec son NAS (403 scope_required) |
403). Une clé révoquée dans ExoConnect est refusée dans les 30 secondes.| Code | Corps de la réponse | Cause | Que faire |
|---|---|---|---|
401 | {"detail": "Clé API manquante"} | En-tête x-api-key absent ou vide | Ajoutez l'en-tête à chaque requête |
403 | {"detail": "Clé API invalide"} | Clé inconnue ou révoquée, faute de frappe, espace ou retour de ligne dans la valeur | Vérifiez la valeur ; créez une nouvelle clé au besoin |
403 | {"detail": "Clé API expirée"} | Date d'expiration dépassée | Créez une nouvelle clé |
403 | {"detail": "Cette clé API ne permet pas l'écriture"} | Écriture avec une clé en lecture seule | Utilisez une clé en écriture |
403 | {"detail": "Licence absente ou inactive"} | La licence ExoConnect n'est pas active | Contactez le soutien |
X-Api-Key fonctionne), mais la valeur de la clé l'est.409 (« Organisation demandée non active ») : changez le dossier actif dans ExoConnect.payroll:sensitive aux seules applications qui doivent traiter le NAS ou les coordonnées bancaires.