Chaque appel à /v1 porte une clé d'API dans l'en-tête Authorization, en HTTPS. Aucune autre forme n'est acceptée (ni paramètre d'URL, ni cookie).
GET /v1/barometer?fuel=gazole HTTP/1.1
Host: api.floweet.com
Authorization: Bearer fw_live_…Format d'une clé
Une clé s'écrit fw_test_ ou fw_live_, suivi d'un secret de 40 lettres et chiffres tiré au hasard. Ses 12 premiers caractères (fw_live_AbCd) forment son préfixe : c'est lui que nous citons quand nous parlons d'une clé avec vous.
Floweet ne conserve que l'empreinte (SHA-256) de la clé complète. Elle vous est donc montrée une seule fois, à sa création ; perdue, elle ne se retrouve pas : il faut en créer une autre.
Une organisation, un membre désigné
Une clé appartient à une organisation Floweet et agit au nom d'un membre ADMIN de cette organisation, désigné à l'ouverture du compte d'API. Elle voit et modifie exactement ce que ce membre peut voir et modifier dans l'application, selon les mêmes règles et avec l'offre de l'organisation : ni plus, ni moins. Une ressource d'une autre organisation répond 404 not_found, comme si elle n'existait pas.
Un module que l'offre de l'organisation n'inclut pas répond 403 plan_required (voir offres et IA). Si le membre désigné quitte l'organisation ou perd son rôle ADMIN, les appels répondent 403 account_misconfigured jusqu'à ce qu'un autre membre soit désigné. Toutes les clés d'une organisation partagent ses limites de débit ; elle peut détenir 10 clés actives au plus.
Clés de test et clés live
| Préfixe | Environnement | Disponible | Effets |
|---|---|---|---|
fw_test_ | Bac à sable | Dès l'ouverture du compte d'API | Mêmes données que l'organisation, argumentaire rédigé au gabarit (jamais d'IA), 1 000 appels par jour. Voir bac à sable. |
fw_live_ | Production | Après validation par notre équipe | Tout est réel ; l'argumentaire est rédigé par l'IA quand elle est disponible. |
Gardez la clé secrète
- Appelez l'API depuis votre serveur. Rangez la clé dans une variable d'environnement ou un coffre de secrets, jamais dans un dépôt de code.
- Jamais dans une page web ni une application mobile : l'API ne répond pas aux requêtes CORS des navigateurs, à dessein. Une clé exposée doit être révoquée.
- Une clé par application et par environnement : en cas de fuite, vous ne révoquez que celle-là.
- Donnez à chaque clé le minimum de scopes nécessaires : un tableau de bord n'a besoin que de lectures.
Renouveler ou révoquer une clé
Pour renouveler une clé sans interruption : demandez-en une nouvelle, déployez-la, puis demandez-nous de révoquer l'ancienne. Une clé révoquée cesse de fonctionner en moins d'une minute (les clés sont relues toutes les 30 secondes au plus) et répond ensuite 401 api_key_revoked. Quand un compte quitte la production, ses clés live sont révoquées.
Ces gestes se font aujourd'hui par e-mail, à contact@floweet.com ; ils passeront dans l'espace développeur Bientôt.
Erreurs d'authentification
{
"error": {
"code": "invalid_api_key",
"message": "Clé d'API absente ou invalide. Ajoutez l'en-tête « Authorization: Bearer fw_live_… »."
}
}401 invalid_api_key: en-tête absent, mal formé, ou clé inconnue.401 api_key_revoked: la clé a été révoquée.403 live_not_enabled: clé live d'un compte d'API pas encore ouvert en production.403 account_suspended: accès à l'API suspendu pour cette organisation.403 account_misconfigured: le membre désigné n'est plus ADMIN de l'organisation.403 insufficient_scope: la clé n'a pas le scope de l'opération (voir scopes).
Le message suit l'en-tête Accept-Language (français sans en-tête) ; votre code, lui, s'appuie sur code. Voir erreurs.