Authentification
Chaque requête à l’API contient une clé API. Les requêtes ne sont jamais associées à une session de navigateur.
Créer une clé API
Créez des clés dans Clés API, dans votre compte, jusqu’à 5. Vous pouvez copier une clé depuis cette page à tout moment tant que vous êtes connecté : nous la conservons chiffrée et ne la montrons qu’à vous. Gardez-la secrète, comme un mot de passe, et si elle a pu être vue, révoquez-la et créez-en une autre.
Envoyer la clé API
Envoyez-la dans l’en-tête Authorization, sous la forme Bearer suivi de la clé. X-API-Key fonctionne aussi.
curl "https://api.talismanleads.io/v1/account" \
-H "Authorization: Bearer tl_live_your_key_here"Ce que peut faire une clé API
Une nouvelle clé peut tout faire : voir votre solde, les vérificateurs, vos commandes et leurs résultats, et utiliser POST /uploads, POST /estimates et POST /orders, qui stockent votre liste ou dépensent votre solde. Une clé créée avant le 8 novembre 2026 peut être en lecture seule : elle peut tout voir, mais ces trois appels la refusent avec missing_scope.
Expiration et adresses IP
Une nouvelle clé n’expire jamais et fonctionne depuis n’importe quelle adresse. Une clé créée avant le 8 novembre 2026 peut avoir une date d’expiration, après laquelle elle est refusée avec expired_key, ou être limitée aux adresses IP de votre serveur, de sorte qu’une requête provenant d’ailleurs est refusée avec ip_not_allowed. Pour modifier l’une ou l’autre, créez une nouvelle clé et révoquez l’ancienne.
Protéger une clé API
- Traitez une clé comme un mot de passe : toute personne qui la détient peut dépenser votre solde.
- Utilisez-la uniquement sur votre serveur. L’API n’autorise pas les appels depuis une page web.
- Gardez-la hors de votre code et de votre gestion de versions.
- Si une clé a pu être vue, révoquez-la immédiatement dans votre compte. Elle cesse de fonctionner aussitôt. Les commandes déjà passées continuent de s’exécuter.
- Envoyez-la uniquement à l’API. Les liens d’importation et de téléchargement portent leur propre autorisation, n’y envoyez donc pas votre clé.
Quand une clé API est refusée
Avec une clé incorrecte, révoquée ou expirée, la réponse est 401. Avec une clé ou un compte bloqué, la réponse est 403. Voir Erreurs.