Accès et clés API

Un accès API porte le propriétaire, l’origine, le statut, la permission et les quotas. Une clé est seulement un moyen révocable d’utiliser cet accès.

Révélation unique

La valeur complète d’une clé est révélée une seule fois. Orbit conserve uniquement son empreinte SHA-256, ce qui empêche toute récupération ultérieure de la valeur originale.

Installez immédiatement la clé dans un gestionnaire de secrets. N’utilisez ni dépôt, ni fichier partagé, ni capture d’écran, ni canal de support.

Rotation sans interruption

1. Créez une nouvelle clé sur le même accès.
2. Installez-la dans tous les services consommateurs.
3. Vérifiez un appel authentifié et conservez son X-Request-Id.
4. Révoquez l’ancienne clé.

Les clés multiples servent au chevauchement de rotation. Elles ne multiplient pas les quotas : les compteurs restent partagés au niveau de l’accès.

Un accès libre-service Gratuit ou Pro accepte au maximum deux clés actives. La rotation recommandée consiste donc à créer la seconde, déployer sa valeur, puis révoquer la première avant la rotation suivante. Les accès complémentaires d’administration restent gérés séparément.

Erreurs d’accès

• 401 : clé absente, invalide, révoquée, expirée ou accès suspendu ;
• 403 : accès valide mais permission insuffisante ;
• 409 dans le portail : deux clés sont déjà actives sur l’accès libre-service ;
• 429 dans l’API : quota de l’accès dépassé.

La Preview commerciale permet à un compte confirmé créé par l’opérateur de créer un accès Gratuit, puis de tester l’offre Pro sur ce même accès. L’abonnement ne remplace ni ne révèle de nouveau les clés existantes. L’inscription publique reste fermée. En production, la création autonome reste également fermée ; un administrateur peut créer ses propres accès complémentaires.