Authentification
Une clé d'API par partenaire, dans l'en-tête x-api-key.
Chaque requête porte votre clé dans l'en-tête x-api-key :
POST /lead-providers/ping HTTP/1.1
Host: api.kelkun.app
Content-Type: application/json
x-api-key: klk_votresociete_a3f9d1_…La clé a la forme klk_<préfixe>_<secret>. Elle identifie votre société : vous n'avez aucun champ d'identification à envoyer en plus.
Garder la clé secrète
Nous ne conservons pas la clé en clair. Elle vous est transmise une fois, par un canal privé, et ne peut plus être relue ensuite, ni par vous ni par nous.
- Gardez-la côté serveur, jamais dans une application mobile ou une page web.
- Perdue ou exposée, elle se remplace : prévenez-nous, nous la révoquons et vous en émettons une autre. La révocation est immédiate.
Les droits d'une clé
Une clé n'ouvre que les routes dont elle a le droit. Appeler une autre route répond 403 UNAUTHORIZED.
| Droit | Route ouverte |
|---|---|
LEADS_PING | Proposer un lead |
LEADS_CREATE | Envoyer un lead, joindre des fichiers |
CONSTRUCTIONS_POSITION | Se positionner |
CONSTRUCTIONS_READ | Lire une demande |
Agir pour une entreprise
Un partenaire qui reçoit nos demandes de travaux agit pour les entreprises de son réseau. La clé est la même pour toutes ; chaque appel dit pour laquelle il agit, avec organization_id. Une entreprise que nous n'avons pas rattachée à votre compte est refusée en 403 ORGANIZATION_NOT_ALLOWED.