Authentification et clés API
Les clés API du porteur, les champs d'application, les exigences sur le propriétaire de la clé, l'expiration, la rotation et la révocation.
État public de l'API
L'API v1 utilise les clés porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte- porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte-porte--porte-------porte------pere-pere.
Clés au porteur
Envoyez votre clé dans l'en-tête Authorization de chaque requête :
GET /v1/receivables HTTP/1.1
Host: api.remindcash.com
Authorization: Bearer <your-api-key>
Accept: application/jsonDemandes sans retour de clé valide 401 unauthenticated.
Portée
Chaque clé porte un ou plusieurs champs. Une requête en dehors des champs de la clé renvoie 403 forbidden.
| Portée | Permet |
|---|---|
receivables:read |
GET /receivables, GET /receivables/{id}, GET /reminder-attempts |
receivables:write |
POST /receivables, PATCH /receivables/{id}, paiements, pause, reprise, annulation |
usage:read |
GET /usage |
payables:read |
GET /payables, GET /payables/{id} |
payables:write |
POST /payables, PATCH /payables/{id}, POST /payables/{id}/mark-paid |
Donnez à chaque intégration seulement les champs d'application dont elle a besoin.
Qui peut utiliser une clé
Une clé agit au nom de la personne qui l'a créée, au sein d'une seule entreprise. Chaque demande vérifie que:
- l'e-mail du propriétaire de la clé est vérifié et l'authentification two-factor est confirmée,
- le propriétaire de la clé est toujours un membre actif de l'entreprise,
- l'entreprise elle-même est active.
Si une vérification échoue, la requête renvoie 403 forbidden. Le retrait d'un membre de l'équipe arrête donc immédiatement ses clés.
Création, rotation et révocation des clés
Les touches sont gérées dans l'application sous Paramètres → touches API par les propriétaires et les administrateurs d'entreprise avec une authentification à deux facteurs.
- Une nouvelle clé est montrée once; RemindCash ne stocke qu'un hash.
- Les clés expirent 30 jours après leur émission.
- Rotate émet une nouvelle clé avec le même nom et les mêmes champs d'applications et supprime immédiatement l'ancien. Mettez à jour votre magasin secret avant de tourner.
- Revoke supprime immédiatement une clé.
- Chaque personne peut tenir jusqu'à 10 clés actives par entreprise.
Garder les clés en sécurité
- Stocker les clés dans un gestionnaire secret ou une variable d'environnement, jamais dans le contrôle source ou le code front-end.
- Utilisez des clés séparées pour des systèmes séparés afin que vous puissiez révoquer l'une sans affecter les autres.
- Si une clé a pu fuir, retirez-la immédiatement dans Paramètres.