Premiers pas
Authentification et accès
Comprendre les clés de membre, les limites d’un espace de travail, les restrictions, l’expiration et le renouvellement des clés.
Envoyer une clé bearer
Les endpoints authentifiés acceptent l’en-tête Authorization avec la valeur Bearer <API_KEY>. Une clé commence par sqk_, suivi de 64 caractères hexadécimaux. Elle est liée à son propriétaire et à son espace de travail ; la requête ne comporte aucun sélecteur d’espace.
- Utilisez la clé sur votre serveur. Cette API n’envoie pas d’en-têtes CORS.
- Ne placez jamais une clé dans du JavaScript côté navigateur, une URL, un dépôt de code ou un journal public.
- Utilisez HTTPS et des clés distinctes pour le développement et la production.
Limiter l’intégration
Choisissez les restrictions lors de la création d’une clé. Elles s’ajoutent aux permissions actuelles de son propriétaire.
| Restriction | Comportement |
|---|---|
| Accès | read ou write (lecture et écriture). POST /query est une opération de lecture. |
| Ressources | Liste explicite ou toutes les ressources du catalogue. Une association nécessite les deux côtés. |
| Adresses IP | Liste IP/CIDR facultative pour les adresses de sortie de votre serveur. |
| Expiration | Obligatoire. L’application propose une durée maximale d’un an. |
Renouveler et révoquer
Le secret est affiché une seule fois ; Squario en conserve une empreinte. Créez une clé de remplacement, modifiez le secret de votre intégration, vérifiez-la avec /me, puis révoquez l’ancienne clé dans Paramètres → API. Nommez les clés selon leur intégration pour reconnaître facilement les usages et modifications.
- Les clés expirées ou révoquées cessent de fonctionner.
- Le retrait de la permission API du propriétaire ou un changement d’offre peut immédiatement bloquer une clé existante.
- Une appartenance devenant inactive entraîne la révocation de ses clés. Sa réactivation ne les restaure pas.
- Des rappels sont prévus 14 et 3 jours avant l’expiration, selon les préférences de notification du propriétaire et la durée de vie de la clé.
Quand l’authentification multifacteur change
Une clé délègue le niveau d’assurance de la session qui l’a créée. Si un facteur MFA nouvellement vérifié rend cette assurance obsolète, les requêtes renvoient 401 key_assurance_stale. Connectez-vous avec une authentification MFA récente et créez une clé de remplacement.
Accès API et administration
api.access permet de créer et d’utiliser ses propres clés. api.manage permet aux administrateurs de consulter et révoquer les clés des membres et de voir l’usage de tout l’espace. L’accès API est disponible sur Pro, Growth, Scale et Enterprise. Les permissions et l’offre sont vérifiées à chaque requête.