Clés d'API et webhooks
Créer une clé, révoquer, générer le secret de webhook — et les pièges de l'écran.
L'écran Développeur est réservé aux rôles owner et admin. C'est le seul
endroit où l'on crée une clé d'API : l'API ne permet pas de gérer ses propres
clés.
Clés d'API
Une clé se crée avec un nom (libre, pour vous y retrouver) et au moins une
portée (PAYIN_INITIATE, PAYOUT_INITIATE, PAYOUT_APPROVE,
TRANSACTIONS_VIEW, CALLS_VIEW, WEBHOOKS_MANAGE) — voir Portée d'une
clé pour ce que chacune permet. Depuis cet écran,
elle est toujours émise en mode live : ce tableau de bord tourne en
production, et le serveur n'y accepte que des clés sk_live_
(Démarrage).
Un environnement sandbox existe, avec ses propres clés sk_test_ — mais pas
depuis cet écran : il n'y a pas encore de tableau de bord sandbox. Voir
Démarrage et Numéros de
test.
Le secret complet n'est affiché qu'une seule fois, à la création. az54 ne le stocke pas en clair et ne peut pas le réafficher : la liste ne montre plus que son préfixe. Copiez-le au moment où il s'affiche.
La liste indique pour chaque clé sa date de création et sa dernière utilisation — c'est ce qui permet de repérer une clé oubliée avant de la révoquer.
Révoquer est immédiat et irréversible. En cas de fuite, l'ordre compte : créez la nouvelle clé, déployez-la, révoquez l'ancienne ensuite. Il n'existe pas de fenêtre de recouvrement.
Une clé authentifie l'organisation entière, pas un rôle du tableau de
bord. Elle reste toutefois rattachée à son créateur (visible sur la ligne de la
clé) : elle est révoquée si ce membre est retiré ou change de rôle.
Émettez les clés d'intégration depuis l'owner. Ses droits sont les portées choisies à sa création (permissions), pas
un rôle d'équipe. Elle contourne la 2FA. Les détails sont dans
Authentification.
Secret de webhook
Le secret sert à signer les notifications sortantes d'az54 vers votre serveur. Il s'affiche, comme une clé d'API, une seule fois.
L'écran n'autorise qu'un seul secret actif à la fois : tant qu'un secret existe, le bouton de génération est désactivé. Pour le remplacer, révoquez puis régénérez — vos notifications ne sont pas signées entre les deux, et sans secret actif rien n'est émis.
C'est une limite de cet écran, pas du produit : l'API accepte plusieurs
secrets actifs simultanément, ce qui permet une rotation sans coupure (créer,
déployer, révoquer). Les trois verbes de /v1/webhook-secrets sont accessibles
par clé d'API — voir Webhook sortant.
Les secrets listés ici sont ceux de l'organisation, et c'est le plus ancien d'entre eux qui signe vos notifications. Un secret généré par un collègue signe donc les vôtres.
Le secret ne suffit pas : il faut une URL de destination. Le webhookUrl de la
transaction prime ; à défaut, az54 utilise le repli d'organisation,
mais cet écran ne propose pas encore de le régler — voir Webhook sortant.
Les tentatives d'envoi d'une notification, et le bouton qui la renvoie, ne sont
pas sur cet écran : ils sont dans la feuille de détail d'une transaction, sur
l'écran Transactions (Encaisser). Par API,
c'est GET /v1/transactions/by-id/{transactionId}
(Réconciliation).