Une clé API en lecture seule ne limite pas ce qu'elle peut voir. Pour qu'une intégration n'accède qu'à une partie de vos données, il faut agir sur le compte qui génère la clé, pas seulement sur la clé.
Deux niveaux à ne pas confondre : les droits et le périmètre
Une clé en lecture seule reste une clé qui lit tout. C'est le malentendu le plus coûteux sur l'API : décocher l'écriture protège l'intégrité de vos données, pas leur confidentialité. Seul un compte dédié limite ce qui est lisible.
La procédure, en cinq étapes
Le mot de passe de votre compte TimeTonic est demandé pour valider la création d'une clé. Dans le cas d'un compte dédié, c'est donc son mot de passe à lui : rangez-le dans votre gestionnaire de mots de passe, l'équipe en aura besoin pour renouveler la clé.
Si l'intégration s'adresse à une personne plutôt qu'à un outil, par exemple un client qui doit consulter ses propres données, le bon montage n'est pas une clé API mais un espace miroir : voir Créer et utiliser une vue miroir entre deux espaces de travail.
Conventions de nommage
Un compte et une clé doivent pouvoir être identifiés des mois plus tard, par quelqu'un qui n'était pas là quand ils ont été créés.
Ce que cette organisation vous évite
Aller plus loin
Créer et gérer vos clés API
La création pas à pas et le détail des quatre droits.
Aller plus loin
Définir les droits des membres
Les rôles disponibles pour votre compte dédié.
Aller plus loin
Révoquer un accès
Couper une clé, une session ou un lien de partage.