Mes clés API

Aide du Hub TheSocle · portal.apim.keys.ecran

Les clés qui authentifient les appels de votre tenant aux API publiées. Créées ici en libre-service, révocables à tout moment.

Voir l'élément dans l'écran : portal/apim/keys

Explication

Une clé API est un secret que votre programme envoie avec chaque appel. Le Hub la reconnaît, retrouve votre tenant, vérifie ses scopes (les droits de la clé), puis compte et facture l'appel.

Une bonne pratique : une clé par usage. Une pour le serveur de production, une pour les essais, une par partenaire. On révoque alors l'une sans toucher aux autres, et l'usage se lit clé par clé.

La clé a la forme apim_prod_ suivie de 40 signes hexadécimaux ; dans ce démonstrateur, elle apparaît masquée, par exemple apim_DEMO00000000000000000000000000000000000000000. Elle n'est affichée qu'une fois, à la création : le Hub n'en garde que l'empreinte SHA-256. Perdue, elle ne se retrouve pas ; on en crée une autre et on révoque l'ancienne.

Un tenant a 50 clés actives au plus.

Fiche complète

Ce que l'écran appelle

Geste	Requête	Effet
ouverture	`GET /api/apim/me/keys`	les clés du tenant, révoquées comprises, les plus récentes d'abord
Créer	`POST /api/apim/me/keys`	une clé neuve, rendue une seule fois
Révoquer	`DELETE /api/apim/me/keys/{id}`	la clé passe `revoked = true`

Points REST du Hub, authentifiés par la session du navigateur. Table : iam.tr_api_keys.

Même chose par un agent (administrateur)

Le worker apim_provisioning_worker fait la même chose pour n'importe quel tenant : create_api_key (key_name, scopes, tenant obligatoires ; expires_in_days, 365 par défaut), list_api_keys, revoke_api_key (key_id), et list_api_scopes pour connaître les scopes réellement ouverts.

Différences entre le portail et l'action

	Portail (cet écran)	`create_api_key`
scopes acceptés	ceux du référentiel `apim.db_scope` actif	ceux qu'ouvre au moins une API publiée (`force` pour passer outre)
expiration par défaut	aucune	365 jours
niveau (`tier`)	toujours `free`	`free` par défaut, réglable
révocation	effet sous 60 s	effet immédiat (cache vidé)

Constaté sur le Hub 3.77.0

Révocation à retardement. Le portail ne vide pas le cache de la passerelle : une clé révoquée ici reste acceptée jusqu'à 60 secondes (durée du cache de SocleHubApiManager). L'action revoke_api_key, elle, vide le cache.
Colonne « Préfix » trompeuse : voir cette colonne.
Propriétaire par défaut. Si le Hub ne retrouve pas le compte connecté, la clé est rattachée au compte n° 1 (ApimMeApiController.createMyKey, idUsers = 1L).

Sommaire du démonstrateur