Aller au contenu principal

Authentification

Alkax utilise des identifiants différents pour les personnes qui utilisent l’application et pour les projets qui s’intègrent depuis un serveur. Choisissez les identifiants et les portées les plus limités qui répondent au besoin.

Sessions utilisateur​

Les actions interactives des utilisateurs utilisent un jeton d’accès bearer :

Authorization: Bearer <access-token>

Les jetons peuvent être émis après une connexion par un moyen pris en charge, comme un mot de passe, une clé d’accès ou un fournisseur d’identité activé. Les sessions utilisateur servent aux actions effectuées au nom de cet utilisateur.

Ne copiez pas un jeton utilisateur dans une intégration serveur de longue durée.

Identifiants de la Plateforme développeur​

Les points de terminaison entre serveurs acceptent un identifiant de projet :

X-Alkax-Key: ak_test_<key-id>.<secret>

Chaque projet dispose d’environnements Sandbox et Production distincts :

  • Les clés Sandbox commencent par ak_test_.
  • Les clés Production commencent par ak_live_.

La formule gratuite permet d’émettre et d’utiliser des identifiants Sandbox. Un abonnement payant est nécessaire pour émettre, renouveler ou utiliser des identifiants Production. L’utilisation mensuelle de l’API est partagée entre tous les projets et environnements facturés au titulaire de l’abonnement.

Le secret complet n’est affiché qu’à l’émission ou au renouvellement de l’identifiant. Enregistrez-le immédiatement dans un gestionnaire de secrets. Alkax conserve l’identifiant de clé et une empreinte dérivée du secret, pas le secret d’origine.

Les portées initialement disponibles sont :

  • places:read
  • geocode:read
  • delivery:read
  • delivery:write

Émettez des identifiants distincts pour chaque service et environnement. Le renouvellement crée un identifiant de remplacement, à déployer avant de révoquer le précédent. La révocation, l’expiration, la suspension du projet et celle de l’environnement invalident les requêtes suivantes.

Consultez le guide de la Plateforme développeur pour la configuration du projet, les jeux de données Sandbox, les journaux, les quotas et les webhooks.

Sécurité des identifiants​

  • N’intégrez jamais d’identifiants de projet dans du JavaScript frontend ou un binaire mobile.
  • Ne placez jamais un identifiant, un lien destinataire ou un secret de signature de webhook dans une URL.
  • Masquez les secrets et les données privées de livraison dans les journaux et les traces.
  • Interprétez 401 comme un identifiant absent, mal formé, invalide, expiré ou révoqué. Interprétez 403 comme une requête authentifiée mais non autorisée pour cette opération.
  • Révoquez immédiatement un identifiant s’il a pu être exposé.
  • Communiquez le X-Request-Id de la réponse à l’assistance ; n’envoyez pas l’identifiant secret lui-même.

La référence API indique le schéma d’authentification de chaque point de terminaison pris en charge.