Clés API

Toutes les clés API du Hub, tous comptes confondus. Une clé agit au nom de son compte ; sa valeur ne s'affiche qu'une fois.

Voir l'élément dans l'écran : iam/api-keys

Explication

Une clé API permet à un programme — un script, une intégration, un agent IA — d'appeler le Hub sans mot de passe. Elle s'envoie dans l'en-tête X-Api-Key, et le Hub agit alors au nom du compte qui la possède, avec son tenant et ses droits.

Cet écran liste les clés de tous les comptes, de la plus récente à la plus ancienne. On en crée une pour n'importe quel compte, et on révoque celles qui ne servent plus.

Le Hub ne garde que l'empreinte SHA-256 de chaque clé. Il ne peut donc pas la réafficher : elle se copie au moment de sa création, ou elle est perdue.

Fiche complète

Ce que l'écran lit

GET /hub/iam/api-keys lit directement iam.tr_api_keys (jointe à iam.db_users pour l'adresse), puis iam_worker.list_users pour le menu « Utilisateur ».

Utiliser une clé

curl -H "X-Api-Key: 00000000-0000-4000-8000-000000000001" \
     https://admin.exemplia.example/api/actions/iam_worker/list_tenants

Le Hub calcule l'empreinte de la clé reçue et la cherche parmi les clés non révoquées ; une clé expirée est refusée. L'en-tête X-Active-Tenant peut demander un autre tenant que celui du compte : il faut alors un accès octroyé, sinon 403 tenant_access_denied.

Libre-service

Un compte peut créer ses propres clés sans passer par un administrateur : iam_worker.create_my_api_key (label, expires_in_days, max_keys = 10 par défaut).

Pièges

• Une clé créée ici ne reçoit pas de scopes propres : sur la porte /api/*, elle a les droits de son compte.
• Les clés d'un compte verrouillé restent valides : la vérification ne lit pas l'état du compte (ApiAuthFilter). Révoquez-les.