Connecter un logiciel tiers par clé API
Créer une clé pour qu'une application externe accède à vos données — avec deux points de non-retour à connaître avant de cliquer.
À qui s'adresse ce guide ? À qui doit brancher une application externe — logiciel de caisse, outil métier, script — sur les données de sa société.
Où trouver l'écran ? Menu Paramètres → Interfaces → Clés API.
Ce qu'est une clé API
Une clé API est un mot de passe destiné à un programme, pas à une personne. Elle permet à une application tierce d'interagir avec votre compte sans qu'un utilisateur se connecte : le logiciel présente sa clé, Biifor reconnaît le porteur et lui ouvre le périmètre qui lui a été accordé.
Elle ne consomme pas de place utilisateur, ne reçoit pas d'email et n'a pas de mot de passe à renouveler. En contrepartie, elle est aussi sensible qu'un identifiant : qui détient la clé détient l'accès.
Créer une clé
- Sur l'écran Clés API, cliquez sur Nouvelle clé.
- Donnez-lui un nom qui dit à quoi elle sert — le nom du logiciel qui l'utilisera, pas « clé 1 ».
- Choisissez son rôle : c'est lui qui décide de ce que la clé peut lire et écrire parmi les données de la société, comme pour un utilisateur (comprendre les rôles) — à une exception près, détaillée plus bas.
- Cliquez sur Créer la clé — le bouton reste grisé tant que le nom et le rôle ne sont pas renseignés.
Ce qu'une clé ne peut jamais faire
Une clé API peut-elle créer des utilisateurs ou d'autres clés ? Non. Quel que soit son rôle, y compris Administrateur, une clé lit et écrit les données de la société mais n'administre pas la société : elle ne peut ni créer d'autres clés, ni inviter ou gérer des utilisateurs, ni créer de rôles personnalisés, ni modifier, supprimer ou réinitialiser la société, ni toucher à l'abonnement. Ces actions se font depuis une session ouverte par une personne.
Dans la liste des clés, une clé créée avec le rôle Administrateur affiche « Administrateur » : c'est le rôle choisi à la création, dont ces actions d'administration sont toujours exclues.
La clé n'est affichée qu'une fois
Après génération, Biifor affiche la clé en clair et vous prévient : « Notez cette clé dès maintenant. Elle ne sera plus jamais affichée. »
Ce n'est pas une formule de prudence. Biifor n'en conserve pas de copie lisible : la liste ne montrera plus qu'un préfixe, jamais le secret. Utilisez le bouton Copier la clé et collez-la immédiatement dans le logiciel qui doit l'utiliser, ou dans votre gestionnaire de mots de passe. Fermer la fenêtre sans l'avoir copiée oblige à créer une nouvelle clé et à révoquer celle-ci.
Une clé par usage
Créez une clé distincte par logiciel connecté, même s'ils font la même chose. Deux raisons, et elles se voient le jour où ça compte : vous savez qui fait quoi dans la traçabilité des accès, et vous pouvez couper un branchement sans casser les autres.
Révoquer une clé
Depuis le menu « … » de la ligne, l'action Révoquer coupe l'accès définitivement : « La clé sera révoquée et ne pourra plus être utilisée pour accéder à l'API. Cette action est irréversible. »
Il n'y a pas de réactivation ni de restauration — pour rebrancher le logiciel, il faudra créer une nouvelle clé et la lui fournir. La clé révoquée reste visible dans la liste, avec le statut Révoquée : elle documente ce qui a été branché un jour, sans plus rien ouvrir.
Révoquez sans hésiter dès qu'une clé a pu être vue par quelqu'un qui ne devrait pas la connaître, ou dès qu'un logiciel n'est plus utilisé.
Si vous ne voyez pas l'écran
Deux raisons possibles :
- votre formule d'abonnement n'inclut pas les clés API — l'entrée « Clés API » est alors absente des paramètres (les formules) ;
- votre rôle ne vous autorise pas à les consulter, ou vous permet de les voir sans pouvoir en créer. Le bouton Nouvelle clé est alors absent.