Authentification
Clés API, permissions, adresses autorisées, expiration et révocation.
Chaque requête porte une clé API dans l’en-tête Authorization :
Authorization: Bearer clk_live_8f3aQxT2pL…
Une clé commence par clk_live_ suivi de 40 caractères. Elle se crée et se révoque dans Mon compte > Accès API, par le titulaire du compte (voir Démarrer). Un compte peut avoir 20 clés actives.
Permissions
Une clé ne peut que ce que ses permissions autorisent. Chaque route indique la sienne dans la référence.
| Permission | Autorise |
|---|---|
account:read |
Lire le compte et l’inventaire des services |
vps:read |
Lire les VPS : état, adresses, mesures, journal, pare-feu |
vps:write |
Agir sur les VPS : alimentation, pare-feu, reverse DNS |
network:read |
Lire les réseaux privés |
network:write |
Modifier les réseaux privés |
billing:read |
Lire les factures et devis |
support:read |
Lire les demandes d’assistance |
support:write |
Ouvrir des demandes et y répondre |
Une permission couvre une seule famille de produits. Les familles à venir apporteront les leurs (dedicated, hosting, email, domains), sans changer celles-ci.
Adresses autorisées
À la création d’une clé, vous pouvez la limiter à des adresses ou des réseaux (IPv4 et IPv6), par exemple l’adresse fixe de votre serveur de supervision. Une requête venue d’ailleurs reçoit 403 ip_not_allowed, même avec la bonne clé.
Expiration et révocation
Une clé expire après 30, 90, 180 ou 365 jours, ou jamais. Une clé expirée répond 401 api_key_expired ; une clé révoquée, 401 api_key_revoked. La révocation est immédiate.
Pour remplacer une clé sans interruption : créez la nouvelle, déployez-la, vérifiez qu’elle fonctionne, puis révoquez l’ancienne. La date de dernière utilisation affichée dans Accès API confirme qu’elle n’est plus appelée.
Vérifier une clé
curl https://api.corcelink.fr/v1/account/api-keys/current -H "Authorization: Bearer $CORCELINK_API_KEY"
La réponse indique ses permissions, ses adresses autorisées, son expiration et sa dernière utilisation, jamais la clé elle-même.
Bonnes pratiques
- Une clé par usage : une pour la supervision en lecture seule, une pour l’automatisation, etc. Une fuite reste limitée à un usage.
- Le minimum de permissions, une date d’expiration et, dès que possible, une liste d’adresses autorisées.
- Jamais de clé dans le code source, un dépôt Git, une capture d’écran ou un message : utilisez une variable d’environnement ou un coffre de secrets.
- Au moindre doute, révoquez la clé : c’est immédiat et sans effet sur vos services.