Un jeton d’API permet à votre propre code de communiquer avec Ocoya. Vous les trouverez sous Settings → API — Settings se trouve dans le menu du compte, l’avatar en haut de la barre latérale.
Cette page explique comment gérer les jetons. Pour savoir comment appeler concrètement l’API — l’URL de base, l’en-tête, les endpoints — consultez la documentation de l’API REST.
Point de départ. Le menu du compte est l’avatar en haut de la barre latérale — Settings, puis API dans la barre latérale des paramètres.
Settings → API, avec le graphique des requêtes en haut et vos jetons en dessous.
Créer un jeton
Sélectionnez Create token et donnez-lui un nom. Ce nom n’est que pour vous : il sert à distinguer vos jetons plus tard et à révoquer le bon.
Nommez les jetons d’après l’endroit où ils sont utilisés, pas d’après ce qu’ils font. Zapier, serveur de préproduction, script de reporting vous dit ce qui cessera de fonctionner si vous le révoquez. Clé API 2 ne vous le dit pas.
Copiez le jeton dès sa création et conservez-le en lieu sûr. Ocoya n’en affiche ensuite que les premiers et derniers caractères.
Ce qu’un jeton peut atteindre
Chaque jeton peut accéder à toutes les marques appartenant à ce compte. Il est impossible de limiter un jeton à une seule marque — la liste des jetons affiche All brands en face de chacun.
Cela compte si vous comptiez donner au développeur d’un client un jeton limité à sa marque. Ce n’est pas possible : il pourrait atteindre toutes les marques que vous possédez.
Révoquer un jeton
Le menu ⋯ de chaque jeton propose Delete token. La suppression est immédiate et définitive — tout ce qui utilise ce jeton cesse aussitôt de fonctionner, alors assurez-vous de savoir ce qui l’utilise avant. C’est à cela que servent les noms.
Il n’existe pas de rotation de jeton sur place. Pour en remplacer un : créez le nouveau jeton, basculez votre intégration dessus, puis supprimez l’ancien.
Suivre l’utilisation
Le graphique API usage montre les requêtes authentifiées de la marque actuelle sur la dernière heure, le dernier jour ou les 30 derniers jours. C’est le moyen le plus rapide de vérifier qu’une intégration appelle bien Ocoya, ou de repérer celle qui l’appelle bien plus que prévu.
Ocoya autorise 60 requêtes par minute par clé et renvoie 429 Too Many Requests au-delà. Le détail complet, y compris les en-têtes de limite de débit, se trouve dans Rate limits.