Authentification et clés
Comment envoyer votre clé API, comment les clés sont conservées, et ce qui se passe quand une clé est révoquée ou qu’une offre prend fin.
Chaque requête porte votre clé sous forme de jeton Bearer, pour REST comme pour MCP :
Authorization: Bearer fbt_EXAMPLE_not_a_real_key_0000Gérer les clés
- Créez et révoquez des clés dans Clés API. Vous pouvez avoir jusqu’à 20 clés actives, alors utilisez-en une par application.
- Une clé n’est affichée qu’une fois, à sa création. Nous n’en gardons qu’une empreinte et ne pouvons plus l’afficher : si vous la perdez, révoquez-la et créez-en une autre.
- La page indique la dernière utilisation de chaque clé et ses requêtes par jour.
Protéger une clé
- Gardez vos clés sur votre serveur ou dans les paramètres de votre client MCP. N’en mettez jamais dans une page web ou un dépôt public : l’API REST n’autorise pas les appels depuis les navigateurs sur d’autres sites.
- Ne mettez jamais une clé dans une URL. Seul l’en-tête
Authorizationest lu. - Si une clé a pu fuiter, révoquez-la. Elle cesse de fonctionner dès la requête suivante.
Quand l’accès s’arrête
Les clés sont vérifiées à chaque requête, sans aucun cache :
- Clé révoquée :
401 invalid_api_key. - Offre sans l’API, y compris à la fin d’un abonnement :
403 plan_without_api. Vos clés refonctionnent si vous vous réabonnez. - Compte suspendu :
403 suspended.
Versions
La version figure dans le chemin, /api/v1, et chaque réponse porte X-API-Version: 1. Dans la v1, nous ne faisons qu’ajouter des éléments, comme de nouveaux champs et de nouveaux endpoints, alors ignorez les champs que vous ne connaissez pas. Les changements sont listés dans le journal des modifications.