API développeur : donner les droits nécessaires, pas davantage

Comprenez clés, autorisations et limites des parcours de réception. Gardez les secrets côté serveur et consultez la documentation pour les endpoints actuels.

L’API développeur sert aux parcours programmatiques autorisés par les fonctions disponibles. Une clé ne remplace pas les droits du produit et n’autorise pas l’accès à toute adresse. Les boîtes temporaires restent destinées à la réception.

Choisir le bon périmètre

Créez uniquement les autorisations nécessaires dans la zone de compte prévue. Stockez les clés sur votre serveur, jamais dans du JavaScript public, une URL ou un dépôt partagé. Consultez la documentation actuelle pour les endpoints, limites et codes d’erreur ; un article n’est pas une spécification complète.

Tester avec vos propres données fictives

Contrôlez création, lecture autorisée et erreurs avec un jeu de test. Limites du plan, expiration et conservation valent aussi pour l’API. Révoquez les clés inutilisées via les fonctions prévues. N’essayez pas de contourner une erreur d’autorisation en accédant à des ressources qui ne vous appartiennent pas.

Une clé donne-t-elle accès à toutes les adresses ?

Non. Compte, périmètre et autorisation sur la ressource restent déterminants.

Peut-elle être publiée dans mon frontend ?

Non. Gardez-la hors des applications et journaux accessibles au public.