Authentification

Comment obtenir, faire tourner et utiliser les clés API pour l'API RefCampaign.

Chaque endpoint authentifié attend un token Bearer dans le header Authorization. Les clés sont émises depuis le tableau de bord marchand, scopées à votre compte et préfixées rc_live_ (production) ou rc_test_ (mode test).

Générer une clé API

Ouvrez Paramètres → Clés API dans le tableau de bord.
Sélectionnez les permissions nécessaires, puis cliquez sur Générer votre première clé ou Générer une nouvelle clé. API : lecture est sélectionné par défaut ; ajoutez API : écriture pour les conversions ou autres modifications. Les assistants MCP utilisent les permissions distinctes MCP : lecture et MCP : écriture. Les clés existantes restent inchangées.
Copiez le token. Le tableau de bord ne l'affiche qu'une fois — il n'y a pas de récupération.
Stockez le token dans un gestionnaire de secrets (Vercel, AWS Secrets Manager, GitHub Actions secrets…). Traitez-le comme un mot de passe.

Utiliser une clé

Envoyez le token sur chaque requête API :

Authorization: Bearer rc_live_...

Exemple curl :

curl https://app.refcampaign.com/api/v1/campaigns \
  -H "Authorization: Bearer $REFCAMPAIGN_API_KEY"

Le token est opaque pour votre application. Ne le parsez pas — son format peut changer entre les versions.

Durée de vie du token

Les clés API n'expirent pas par défaut. Elles restent valides jusqu'à révocation depuis le tableau de bord.

Si vous avez besoin de tokens courts à rotation (un contrôle de sécurité courant), faites la rotation vous-même :

Générez une nouvelle clé.
Déployez la nouvelle valeur sur vos serveurs.
Révoquez l'ancienne clé une fois le déploiement terminé.

Révocation

Dans Paramètres → Clés API, cliquez Révoquer à côté de la clé. Les sessions actives sur cette clé échouent immédiatement avec 401. La révocation est définitive — pas de réactivation possible.

Une clé révoquée renvoie :

{
  "success": false,
  "error": {
    "code": "UNAUTHORIZED",
    "message": "Invalid or expired API key"
  }
}

Endpoints SDK navigateur

L'API marchande /api/v1/* exige actuellement un token Bearer. Le tracking du SDK navigateur utilise des endpoints publics et rate-limités hors de la surface API marchande v1 :

POST /api/track/click — suivi des clics depuis le SDK navigateur.
POST /api/track/identify — liaison session-vers-client.

Ces endpoints n'exigent PAS de header Authorization. Ils ne sont pas inclus dans le playground OpenAPI v1, car ce sont des endpoints d'intégration SDK/navigateur, pas des endpoints marchands à clé API.

Checklist sécurité

Ne committez jamais une clé dans git

Même dans un dépôt privé, les clés finissent dans les logs CI, les branches archivées et les forks. Utilisez les variables d'environnement et un gestionnaire de secrets — et faites tourner immédiatement si une clé a été commitée par accident.

Une clé dédiée par environnement. Ne partagez pas la clé production avec staging ou local dev.
Faites tourner après une fuite suspectée. Générez une nouvelle clé, déployez-la, révoquez l'ancienne.
Limitez les permissions. Pour le reporting, sélectionnez uniquement API : lecture ou MCP : lecture, selon le client. Ajoutez l’écriture seulement si l’intégration doit modifier des données. Les permissions s’appliquent au compte marchand, pas à une campagne précise.