Authentification
Une clé d'API par organisation, dans l'en-tête Authorization. Comment l'obtenir, ce qu'elle donne, ce qui la refuse.
Toutes les routes exigent une clé d'API dans l'en-tête Authorization :
Authorization: Bearer tk_votrecléObtenir une clé
Paramètres → Clés d'API dans l'espace freelance, réservé aux membres
admin de l'organisation. La clé est affichée une seule fois à la
création : elle est stockée hachée, personne ne peut la relire, pas même vous.
Si vous la perdez, révoquez-la et créez-en une nouvelle.
Créez une clé par usage — un script, un connecteur, une automatisation — pour pouvoir en révoquer une sans casser les autres.
Portée
Une clé est rattachée à une organisation. Toutes les lectures et écritures sont automatiquement limitées à cette organisation : impossible d'atteindre les données d'une autre, même en connaissant un identifiant. Il n'y a pas de portée plus fine : une clé donne accès à l'ensemble des clients, projets et tâches.
Une clé donne accès aux données de vos clients. Traitez-la comme un mot de passe : jamais dans un dépôt Git, jamais dans une conversation, jamais dans une URL.
Réponses d'authentification
| Situation | code | Statut |
|---|---|---|
| En-tête absent ou mal formé | unauthorized | 401 |
| Clé inconnue | unauthorized | 401 |
| Clé révoquée | unauthorized | 401 |
| Clé expirée | unauthorized | 401 |
| Limite de débit atteinte | rate_limited | 429, avec Retry-After |
Le message ne distingue pas une clé inconnue d'une clé révoquée : le préciser reviendrait à confirmer qu'une clé a existé.
Et pour une personne plutôt qu'un script ?
La clé identifie une organisation, pas qui s'en sert. Pour un assistant utilisé par plusieurs personnes, le serveur MCP propose une connexion OAuth : chacun se connecte avec son compte, l'accès se révoque individuellement, et l'organisation est vérifiée contre l'appartenance réelle.
