Clés API

Toutes les requêtes vers l'API ExoConnect nécessitent une clé API valide transmise dans le header x-api-key. Cette page explique comment créer, gérer et sécuriser vos clés.

Qu'est-ce qu'une clé API?

Une clé API est un identifiant unique qui permet à une application de s'authentifier auprès de l'API. Chaque clé peut avoir des permissions spécifiques (lecture seule ou lecture/écriture) et une durée de vie configurable.

Concrètement, chaque requête HTTP doit inclure le header suivant :

Sans ce header, l'API retourne une erreur 401 Unauthorized.

Créer une clé

Ouvrir le gestionnaire de clés

Dans ExoConnect, accédez au menu Clés d'API.

Générer une nouvelle clé

Cliquez sur Générer une nouvelle clé.

Nommer la clé

Donnez un nom significatif qui identifie l'application ou le service connecté (par exemple : Zapier, Shopify, Site web, Relais interne).

Configurer les permissions

Par défaut, la clé est en lecture seule. Si l'intégration doit créer, modifier ou supprimer des données dans Acomba, cochez la case Écriture.

Définir l'expiration

La durée par défaut est de 90 jours. Vous pouvez modifier cette valeur ou sélectionner Jamais pour une clé sans expiration.

Enregistrer et copier

Cliquez sur Enregistrer, puis sur Copier la clé pour la placer dans votre presse-papier.

La clé complète n'est visible qu'au moment de la création. Copiez-la immédiatement et conservez-la dans un endroit sécurisé. Elle ne pourra plus être affichée par la suite.

Bonnes pratiques de sécurité

Une clé par application

Créez une clé distincte par service connecté. Cela permet de révoquer l'accès d'un service sans affecter les autres.

Permissions minimales

N'activez l'écriture que pour les intégrations qui en ont besoin. Une clé en lecture seule limite les risques en cas de compromission.

Rotation régulière

Changez vos clés périodiquement. L'expiration automatique (90 jours par défaut) vous y encourage naturellement.

Stockage sécurisé

Ne codez jamais une clé en dur dans votre code source. Utilisez des variables d'environnement ou un gestionnaire de secrets.

Gérer les clés existantes

Le gestionnaire de clés affiche toutes les clés actives avec leur nom, permissions, date de création et date d'expiration.

Action	Description
Désactiver	Suspend temporairement l'accès sans supprimer la clé. Réactivable à tout moment.
Supprimer	Révoque définitivement la clé. Les requêtes utilisant cette clé recevront une erreur `401`.
Renouveler	Génère une nouvelle clé avec les mêmes permissions. L'ancienne clé reste active jusqu'à sa suppression.

La suppression d'une clé est immédiate et irréversible. Toutes les applications utilisant cette clé perdront l'accès instantanément. Assurez-vous d'avoir mis à jour la clé dans vos intégrations avant de supprimer l'ancienne.

Tester votre clé

Pour vérifier qu'une clé fonctionne, exécutez cette requête depuis un terminal :

cURL

Python

JavaScript

PHP

Réponse

Une réponse 200 avec la liste des comptes comptables confirme que votre clé est valide et que l'API fonctionne correctement.

Prochaine étape

Comprendre la gestion des versions de l'API.

Retour

Revenir à la configuration.

Qu'est-ce qu'une clé API?#

Créer une clé#

Bonnes pratiques de sécurité#

Gérer les clés existantes#

Tester votre clé#

Qu'est-ce qu'une clé API?

Créer une clé

Bonnes pratiques de sécurité

Gérer les clés existantes

Tester votre clé