Passer au contenu principal
Chaque appel à l’API porte un jeton dans l’en-tête Authorization :

​
Créer un jeton

Dans Paramètres → Jetons d’API → Nouveau jeton (rôle éditeur ou propriétaire). Le jeton s’affiche une seule fois. Détails dans Jetons d’API et webhooks.

​
Ce qu’il peut faire

Un jeton en lecture seule qui tente d’écrire reçoit 403 missing_ability.

​
Clés réelles et clés de test

Un jeton est une clé réelle ou, avec Clé de test activée à sa création, une clé de test. Une clé de test n’envoie rien : les e-mails transactionnels sont journalisés et marqués envoyés sans atteindre un fournisseur, les tests de campagne sont vérifiés et pas envoyés, et rien ne compte dans le quota. Elle lit et écrit quand même les vraies données de l’équipe. Voir Clés de test. GET /v1/me dit laquelle est un jeton, dans sandbox.

​
Pour quelle équipe

Un jeton travaille pour l’équipe dans laquelle il a été créé, et pour elle seule. Il ne voit rien des autres équipes de son propriétaire, même quand celui-ci change d’équipe dans le navigateur. Il agit aussi avec les droits de son propriétaire dans cette équipe, vérifiés à chaque appel :
  • si le propriétaire devient lecteur, les écritures répondent 403 role_not_allowed ;
  • s’il quitte l’équipe, tous les appels répondent 403 team_access_lost ;
  • si l’équipe exige la double authentification et que le propriétaire n’a configuré ni second facteur ni clé d’accès, tous les appels répondent 403 two_factor_required, jusqu’à ce qu’il le fasse ;
  • si l’équipe est suspendue, tous les appels répondent 403 team_suspended.
Pour une intégration durable, créez les jetons depuis un compte de service (par exemple api@maboutique.example, rôle éditeur) plutôt que depuis le compte d’une personne qui pourrait quitter l’équipe.

​
Bonnes pratiques

  • Un jeton par application. Vous saurez lequel révoquer.
  • Le minimum. Un tableau de bord qui lit les statistiques n’a besoin que de Lecture.
  • Côté serveur uniquement. Un jeton dans du JavaScript de navigateur ou une application mobile est public. Pour inscrire depuis un navigateur, utilisez le formulaire, qui n’a pas besoin de jeton.
  • Dans un coffre. Variable d’environnement ou gestionnaire de secrets, jamais dans le dépôt.
  • Révoquez au moindre doute : Paramètres → Jetons d’API → Révoquer coupe l’accès immédiatement. La colonne Dernière utilisation aide à repérer un jeton oublié.

​
Réponses d’authentification