Clés API

Chaque requête porte l'en-tête api-key, exactement comme chez Brevo :

GET /api/brevo/v3/account HTTP/1.1
Host: ma-boutique.fr
api-key: xkeysib-3f2a…

curl -s "https://ma-boutique.fr/api/brevo/v3/account" -H "api-key: $BREVO_API_KEY"
  • Une clé = un compte Brevo = un site. Toutes les données manipulées (contacts, listes, modèles, journaux, webhooks) appartiennent à ce site ; une clé ne voit jamais les données d'un autre site, même du même locataire.
  • La clé a le format Brevo (xkeysib- + 64 caractères hexadécimaux + - + 16 caractères alphanumériques), pour que les contrôles de format des plugins passent.
  • Seule une empreinte SHA-256 est conservée : la clé n'est affichée qu'une fois, à sa création. Une clé perdue ne peut pas être retrouvée ; il faut en créer une nouvelle.
  • Le domaine utilisé dans l'URL n'a pas d'importance pour l'identification : c'est la clé qui désigne le site. Utilisez de préférence un domaine du site concerné.

Obtenir et gérer une clé

Les clés sont émises par un administrateur de la plateforme : demandez-en une à votre administrateur Inklura en indiquant le site concerné et un nom pour la clé (par exemple « WordPress »). Un site peut avoir plusieurs clés, une par outil par exemple, ce qui permet d'en révoquer une sans couper les autres.

Pour chaque clé, la plateforme conserve :

Information Détail
Nom libellé choisi à la création
Préfixe xkeysib- suivi des 8 premiers caractères, pour reconnaître la clé sans l'exposer
Création date de création
Dernière utilisation date de la dernière requête authentifiée, mise à jour au plus une fois par minute
Révocation date de révocation, le cas échéant

Une clé n'expire pas d'elle-même. Une clé révoquée répond 401 dès la requête suivante ; la révocation est définitive.

Attention

Ne placez jamais une clé dans du code exécuté par le navigateur de vos visiteurs : elle donne accès aux contacts et à l'envoi d'e-mails du site.

Erreurs d'authentification

Statut Corps Cause
401 {"code":"unauthorized","message":"Key not found"} en-tête absent, clé inconnue ou révoquée

La clé est vérifiée avant toute autre chose : une requête sans clé valide reçoit ce 401 même si le chemin n'existe pas ou n'accepte pas cette méthode.