Clés API
L’API est disponible avec la licence Groupe. Un administrateur crée les clés dans Administration → Développeurs → Clés API ; chaque clé n’est affichée qu’une seule fois à sa création, dans une fenêtre qui ne se ferme qu’une fois la clé copiée. Vous n’êtes pas administrateur ? Demandez la création d’une clé à l’administrateur de votre entreprise — c’est lui qui vous la transmet par votre canal interne sécurisé. La création de clés est volontairement un geste d’administration, comme chez tous les acteurs du secteur.- Une clé par intégration (nommée), révocable individuellement.
- Limite de 120 appels par minute par clé, dont 20 analyses — au-delà,
429avec l’en-têteRetry-After. Les plafonds sont rappelés sur la page. - Ne placez jamais une clé côté navigateur ou dans un dépôt de code.
Portée d’une clé
Chaque clé se crée avec une portée :
Une clé de lecture seule qui tente une écriture reçoit
403 read_only_key.
Donnez la lecture seule à vos outils de reporting : ils n’ont aucune raison
de pouvoir engager de la facturation.
Clé de signature des webhooks
La cléwhsec_… est propre à votre entreprise : toutes vos destinations
la partagent. Un administrateur la génère dans Administration →
Développeurs → Webhooks ; la régénérer remplace immédiatement l’ancienne —
l’écran de confirmation liste les destinations concernées, mettez-les toutes
à jour avant de régénérer.
Elle sert exclusivement à vérifier l’en-tête X-Resocom-Signature des
notifications entrantes — voir
Vérifier la signature.
Bonnes pratiques
- Stockez les clés dans votre gestionnaire de secrets, jamais en clair.
- Prévoyez la rotation : créez la nouvelle clé API, basculez, révoquez l’ancienne.
- Un
401signifie clé absente, inconnue ou révoquée ; un403signifie que la licence de votre entreprise ne couvre pas l’API, ou que la portée de la clé ne couvre pas l’écriture. - Les appels refusés qui vous sont attribuables (licence, plafond, portée) sont listés sur la page Clés API : vous y lisez le motif exact.