Authentification
Comment ta clé identifie chaque appel : l'en-tête Bearer, une clé par outil, la révocation et le 401.
Chaque appel porte ta clé dans l'en-tête Authorization, sauf GET /openapi.json et GET /operations, que tu peux lire sans clé. Cette page explique comment la clé voyage, comment la répartir entre tes outils et ce qui arrive quand l'API la refuse.
L'en-tête Bearer
Une clé commence par fd_live_. Tu l'envoies dans l'en-tête Authorization, précédée du mot Bearer :
curl https://api.fitdistance.io/api/partner/v1/me \
-H "Authorization: Bearer fd_live_xxxxxxxx"Rien d'autre ne s'ajoute : ni identifiant, ni mot de passe. La clé dit qui appelle et ce qu'elle a le droit de faire, selon ses périmètres.
Une clé par outil
Tu peux avoir cinq clés actives. Donne-en une à chaque outil : n8n, Make, un script, ton IA. Chaque clé a son nom et ses périmètres. Le Journal des appels de l'app montre quelle clé a fait quoi : tu vois quel outil consomme tes crédits, et tu en coupes un sans toucher aux autres.
On ne modifie pas les périmètres d'une clé. Pour en changer, crée une nouvelle clé, mets-la dans l'outil, puis révoque l'ancienne.
Révoquer une clé
Dans l'app, ouvre Paramètres › Intégrations › Clés API et révoque la clé. Elle cesse de fonctionner en moins d'une minute, et ses appels reçoivent un 401. Les autres clés ne bougent pas.
Quand l'API refuse la clé
Une clé absente, inconnue ou révoquée reçoit un 401 UNAUTHORIZED :
{ "error": { "name": "PARTNER_API", "message": "UNAUTHORIZED" } }Un 401 ne coûte aucun crédit. Cherche d'abord une faute de copie : un caractère manquant, ou le mot Bearer oublié. Une clé valide qui n'a pas le droit de faire l'appel ne reçoit pas un 401 mais un 403 SCOPE_MISSING.
N'enchaîne pas les essais : des 401 répétés depuis une même adresse sont freinés, et au-delà de 300 par minute tu reçois un 429 RATE_LIMITED.
Garde la clé secrète
La clé complète ne s'affiche qu'une fois, à la création. Fit'Distance ne stocke pas la clé complète : si tu la perds, révoque-la et crée-en une autre.
Jamais la clé dans une adresse
L'API lit la clé dans l'en-tête Authorization, nulle part ailleurs. Une adresse (URL) finit dans l'historique d'un navigateur, dans des journaux de serveur et dans les liens que tu partages. Ne mets pas non plus la clé dans un document partagé, une conversation ou un dépôt public. Garde-la là où ton outil range ses secrets : identifiant n8n, connexion Make, variable d'environnement d'un script. Si elle a fuité, révoque-la tout de suite.
Pour tester une clé sans dépenser de crédit, appelle GET /me : c'est le sujet de Premier appel.