Authentification

Clés d'API

Envoyez votre clé dans l'en-tête Authorization à chaque requête. C'est la seule façon de s'authentifier auprès de l'API.

Authorization: Bearer sk_live_…

Une clé appartient à un espace de travail et agit au nom de la personne qui l'a créée. Les documents envoyés avec elle indiquent cette personne comme expéditeur, et la piste d'audit précise que l'action a été faite par l'API.

Les administrateurs de l'espace de travail créent les clés dans Paramètres, Développeurs, ou avec POST /api-keys. La clé complète n'est affichée qu'une fois; nous n'en gardons que l'empreinte.

Gardez les clés sur votre serveur

• Ne mettez jamais une clé dans un navigateur, une application mobile ou un dépôt public. L'API n'accepte pas les requêtes de navigateur (CORS).
• Utilisez une clé par système, pour en révoquer une sans toucher aux autres.
• Pour remplacer une clé, renouvelez-la (POST /api-keys/{id}/roll) : l'ancienne cesse de fonctionner immédiatement et une nouvelle, du même nom, est renvoyée.
• Les clés révoquées ou inconnues reçoivent 401 unauthenticated.

L'adresse de l'API

Tous les appels vont à https://api.esorasign.com/v1. Seules les requêtes avec une clé d'API y atteignent l'API; les autres reçoivent 401 ou 404. Le connecteur MCP est à https://api.esorasign.com/mcp, avec la même clé.