Clés API

Générez et gérez des clés API pour un accès programmatique.

Les clés API permettent un accès programmatique à vos agents. Utilisez-les pour intégrer Agentkit dans vos applications ou pour connecter des services tiers.

La création de clés et l’utilisation de l’API nécessitent un forfait Hobby ou supérieur avec facturation active. Les membres de l’espace de travail peuvent toujours afficher et révoquer les clés existantes après la perte de ce droit d’accès. Passez à un forfait supérieur →

Créer une clé API

Accédez à votre espace de travail
Cliquez sur Clés API dans la barre latérale
Cliquez sur Créer une clé API
Confirmez dans la boîte de dialogue

La nouvelle clé apparaît dans la liste et peut être révélée ou copiée à tout moment.

Afficher et copier des clés

Chaque clé de la liste est masquée par défaut. Utilisez l’icône en forme d’œil pour révéler une clé et l’icône de copie pour la copier dans votre presse-papiers.

Utiliser des clés API

Incluez la clé dans vos requêtes API :

curl -X POST 'https://your-domain.com/api/v1/chat' \
  -H 'Authorization: Bearer YOUR_API_KEY' \
  -H 'Content-Type: application/json' \
  -d '{"chatbotId": "uuid", "messages": [{"role": "user", "content": "Hello"}]}'

Documentation complète de l’API →

Gérer les clés

Afficher toutes les clés

Toutes les clés de l’espace de travail sont répertoriées sur la page Clés API.

Supprimer une clé

Trouvez la clé dans la liste
Cliquez sur l’icône de la corbeille
Confirmez la suppression

Les clés supprimées cessent de fonctionner immédiatement.

Révoquer les clés après expiration de l’accès

Si votre espace de travail perd l’accès à l’API, connectez-vous et supprimez les clés inutiles depuis sa page Clés API. Vous n’avez pas besoin de renouveler la facturation pour les révoquer. Vous devez toujours être membre de l’espace de travail. Si vous avez activé la MFA, terminez la vérification MFA avant de gérer les clés. Jusque-là, la base de données masque les clés de l’espace de travail et refuse leur suppression. Cela ne rétablit ni l’utilisation de l’API ni le droit de créer des clés.

Auparavant, Agentkit vérifiait le droit d’accès payant à l’API avant de supprimer une clé. Les politiques de base de données exigeaient aussi ce droit pour lire ou supprimer des clés. La perte d’accès pouvait donc bloquer la suppression d’un identifiant existant.

La correction sépare la création de la suppression. L’appartenance à l’espace de travail détermine l’accès en lecture et en suppression aux clés existantes, et une politique de base de données distincte impose la MFA. La création et la modification de clés nécessitent toujours le droit d’accès à l’API. L’action de suppression vérifie l’identifiant de la clé et celui de l’espace de travail, et ne signale un succès que si la base de données renvoie une ligne supprimée.

Cet exemple simplifié décrit la modification du contrôle :

Before
  Require API entitlement before deleting an existing key.

After
  Delete only a key belonging to the requested workspace.
  Require a returned deleted row before reporting success.
  Keep membership checks and enforce MFA in the database.

Les tests de l’application simulent le client de base de données. Ils vérifient les filtres et le traitement des résultats, pas les politiques de base de données. Les tests SQL utilisent des comptes synthétiques et annulent leurs modifications. Leurs résultats attendus comprennent :

Contrôle	Couche de test	Résultat attendu
Un membre autorisé révoque sans droit d’accès à l’API	Simulation de l’application	Aucune requête de droit d’accès ; filtres de clé et d’espace de travail ; succès conditionné à une ligne renvoyée
Un membre autorisé révoque sans droit d’accès à l’API	SQL	Une clé de son propre espace de travail supprimée
Un membre crée une clé sans droit d’accès	Simulation de l’application et SQL	Refusé
Un membre tente de supprimer une clé d’un autre espace de travail	SQL	Aucune ligne supprimée
La MFA requise n’est pas satisfaite	SQL	Aucune ligne supprimée
La clé demandée manque ou est invisible pour l’appelant	Simulation de l’application	L’action signale un échec

Il s’agit des résultats attendus des tests de régression, pas d’un essai en production. Appliquez le même schéma de test aux identifiants temporaires des workflows d’agents. Modifiez l’accès avant le nettoyage, puis vérifiez que le nettoyage autorisé réussit et que le nettoyage non autorisé est refusé.

Bonnes pratiques de sécurité

Ne jamais exposer vos clés

Ne validez pas de clés dans un dépôt git
N’incluez pas de clés dans du code côté client
Utilisez des variables d’environnement

Faire tourner vos clés régulièrement

Créez de nouvelles clés régulièrement
Mettez à jour vos applications
Supprimez les anciennes clés

Utiliser des clés distinctes

Créez des clés différentes pour :

La production et le développement
Différentes applications
Différents membres de l’équipe ou services

Portée des clés

Les clés API sont limitées à l’espace de travail dans lequel elles sont créées et ont accès à :

Tous les agents de l’espace de travail
Les points de terminaison de l’API de chat
La gestion des webhooks

Les clés ne peuvent pas :

Gérer les membres de l’équipe
Accéder à la facturation
Créer d’autres clés API

Connexion à Zapier

Pour vous connecter à Zapier :

Créez une clé API dédiée à Zapier
Utilisez cette clé dans la connexion Zapier
Gardez cette clé distincte de vos autres usages

Configurer Zapier →

Dépannage

Erreur « Invalid API key »

Vérifiez que la clé a été copiée correctement
Recherchez d’éventuels espaces en début ou fin de clé
Confirmez que la clé n’a pas été supprimée

Erreur « Key not authorized »

Assurez-vous que l’agent appartient à votre espace de travail
Vérifiez que l’espace de travail de la clé correspond
Pour les requêtes API, confirmez que votre espace de travail est sur Hobby ou supérieur, avec facturation active

La clé ne fonctionne pas après sa création

Essayez d’actualiser la page
Patientez 30 secondes le temps de la propagation
Créez une nouvelle clé si le problème persiste