Notions clés
Authentification
L’API authentifie chaque requête par une clé d’API, transmise dans l’en-tête
Authorization. La clé désigne une organisation : la requête n’accède qu’aux ressources de celle-ci.
| Préfixe | Mode | Usage |
|---|---|---|
rt_test_ | Test, gratuit | Développement |
rt_live_ | Réel | Production |
- La clé se transmet uniquement dans l’en-tête
Authorization: Bearer …, jamais dans l’URL. - Appelez l’API depuis un serveur : elle refuse les appels venus d’un navigateur (CORS). Gardez la clé dans une variable d’environnement ou un gestionnaire de secrets, jamais dans le code source.
- La clé complète ne s’affiche qu’une fois, à sa création. Conservez-la aussitôt.
- Une clé absente, invalide, révoquée ou expirée reçoit une erreur
401(voir Erreurs).
Chaque clé porte les droits choisis à sa création.
| Identifiant | Dans la console | Routes |
|---|---|---|
renders | Rendus | POST /v1/renders |
edits | Éditions | POST /v1/edits, GET /v1/edit-materials, GET /v1/edit-material-categories |
decorations | Décorations | POST /v1/decorations, GET /v1/styles |
upscales | Upscaling | POST /v1/upscales |
generations_read | Lecture des générations | GET /v1/generations, GET /v1/generations/{id} |
POST /v1/generations/{id}/cancel exige generations_read et le droit du type de la génération. Une requête sans le droit requis reçoit 403 permission_denied.Les clés se gèrent dans la console, écran Clés d’API.
- Une clé appartient à l’organisation, pas à son créateur.
- Propriétaire, administrateurs et développeurs créent des clés. Propriétaire et administrateurs renomment, restreignent et révoquent toutes les clés ; un développeur, les siennes.
- 50 clés non révoquées au plus par organisation, expirées comprises.
- La console affiche le début de chaque clé, ses 4 derniers caractères, sa dernière utilisation et l’adresse IP de celle-ci.
- Expiration facultative : la clé cesse de fonctionner à la fin du jour choisi.
- Révocation immédiate et définitive, dès la requête suivante. Révoquez sans délai une clé exposée.
- Une clé révoquée ou expirée est effacée 13 mois après sa fin : elle est alors inconnue (
api_key_invalid). Les membres facturation consultent les clés sans les gérer.
Une clé peut être restreinte à une liste d’adresses, à sa création ou ensuite. Une requête venue d’une autre adresse reçoit
403 ip_not_allowed.- 20 entrées au plus : adresses (
203.0.113.4) ou plages CIDR (198.51.100.0/24,2001:db8::/48), en IPv4 ou IPv6. - Sans liste, toutes les adresses sont acceptées.
- Une modification s’applique dès la requête suivante, sur
/v1comme sur le serveur MCP. - Indiquez l’adresse publique de sortie de vos serveurs ; celle que propose la console est celle de votre navigateur.
- La liste ne s’applique pas au bac à sable de la console.
- Créez une clé avec les mêmes droits.
- Déployez-la sur vos serveurs.
- Quand la date de dernière utilisation de l’ancienne clé ne change plus, révoquez-la.