Authentification

Clé API, en-tête Bearer, rotation.

L'en-tête

Chaque requête porte votre clé API dans un en-tête Authorization, précédée de Bearer. Il n'y a pas d'autre méthode : ni clé en paramètre d'URL, ni cookie.

Authorization: Bearer VOTRE_CLE_API

Votre clé se trouve dans la console, section Développeurs. Le préfixe mp_live_ annonce une clé de production : elle déplace de l'argent réel.

Ce qu'une clé permet, et ce qu'elle ne permet pas

C'est votre unique identifiant d'appel, et il porte tous les droits de l'API : encaisser, préparer un déboursement, lire vos opérations. Traitez-le comme le mot de passe du compte, parce que c'en est un.

Ce qu'une clé seule ne peut pas faire, en revanche : elle ne peut pas changer vos réglages. Les adresses autorisées, la cadence, le mot de passe se modifient depuis la console. Une clé compromise ne peut donc pas élargir sa propre portée, ni se rendre discrète.

Et pour les déboursements, elle ne suffit pas : l'appel doit aussi venir d'une adresse déclarée. Déclarez-les — c'est ce qui transforme une clé perdue en clé inutile.

Ne la mettez jamais dans une URL

Une clé passée en paramètre d'URL se retrouve dans les journaux du serveur, dans l'historique du navigateur et dans l'en-tête Referer envoyé aux sites tiers. Elle doit rester dans l'en-tête, et ne jamais quitter votre serveur — pas de clé API dans du code exécuté chez le client.

Si la clé manque ou ne vaut rien

401 Unauthorized

{
  "error": {
    "code": "unauthenticated",
    "message": "Clé API manquante.",
    "hint": "Ajoutez l'en-tête Authorization: Bearer <votre_cle_api>."
  }
}

Une clé présente mais inconnue ou révoquée renvoie le même statut, avec le code invalid_api_key.

Rotation

Régénérez la clé depuis la console dès qu'elle a pu être exposée — dans un dépôt, une capture d'écran, un message. L'ancienne cesse d'être acceptée immédiatement : prévoyez de déployer la nouvelle avant de régénérer, sinon vos appels échouent dans l'intervalle.