Clés API

Stripe authentifie vos requêtes API grâce aux clés API de votre compte. Si une requête ne contient pas de clé valide, Stripe renvoie une erreur de requête non valide. Si une requête contient une clé supprimée ou expirée, Stripe renvoie une erreur d’authentification.

Utilisez le Dashboard des développeurs pour créer, révéler, supprimer et échanger des clés API. Pour accéder à vos clés API v1, sélectionnez l’onglet Clés API dans votre Dashboard.

Mode test par rapport au mode production

Toutes les requêtes à l’API Stripe sont effectuées en mode test ou en mode production. Utilisez le mode test pour accéder aux données de test et le mode production pour accéder aux données réelles du compte. Chaque mode possède son propre ensemble de clés API. Les objets dans un mode ne sont pas accessibles dans l’autre. Par exemple, un objet Product en mode test ne peut pas être utilisé dans le cadre d’un paiement en mode production.

Clés secrètes et publiables

Tous les comptes ont un total de quatre clés API par défaut, deux pour le mode test et deux pour le mode production :

• ** Clé secrète du mode test ** : utilisez cette clé pour authentifier les requêtes sur votre serveur en mode test. Par défaut, vous pouvez utiliser cette clé pour effectuer n’importe quelle requête d’API sans restriction.
• ** Clé publiable en mode test ** : utilisez cette clé à des fins de test dans le code côté client de votre application Web ou mobile.
• ** Clé secrète du mode production ** : utilisez cette clé pour authentifier les requêtes sur votre serveur en mode production. Par défaut, vous pouvez utiliser cette clé pour effectuer n’importe quelle requête d’API sans restriction.
• ** Clé publiable en mode production** : utilisez cette clé, lorsque vous êtes prêt à lancer votre application, dans le code côté client de votre application Web ou mobile.

You can find your secret and publishable keys in API keys. When you’re logged in, Stripe’s documentation automatically populates code examples with your test mode API keys (only you can see these values). If you’re not logged in, our code examples include randomly generated API keys. You can replace them with your own test keys or log in to see the code examples populated with your test API keys. If you can’t view your API keys, ask the owner of your Stripe account to add you to their team, with the proper permissions.

Le tableau suivant montre des exemples de clés API de test secrètes et publiables générées de manière aléatoire :

Conservez vos clés en sécurité

N’importe qui peut utiliser votre clé API secrète en mode production pour effectuer un appel à l’API au nom de votre compte, par exemple pour créer un paiement ou effectuer un remboursement. Protégez vos clés en suivant les bonnes pratiques en matière de clés API secrètes.

Personnaliser l’accès à l’API à l’aide de clés API limitées

Pour fournir un accès limité à l’API, créez des clés API limitées. Vous pouvez configurer une clé API limitée pour autoriser l’accès en lecture ou en écriture à des ressources spécifiques de l’API. Lorsque vous utilisez des microservices qui interagissent avec l’API en votre nom, définissez des clés limitées qui autorisent uniquement l’accès minimal requis par ces microservices. Par exemple, si vous utilisez un service de surveillance des litiges, créez une clé limitée qui fournit uniquement un accès en lecture aux ressources relatives aux litiges. Cette clé permet au service d’obtenir les données dont il a besoin, mais ne lui permet pas d’apporter des modifications ou d’accéder à d’autres données.

Les clés limitées ne peuvent interagir qu’avec une petite partie de l’API Stripe, car elles sont destinées uniquement à limiter les risques associés à l’utilisation ou au développement de microservices. Par ailleurs, elles ne doivent pas remplacer les clés API secrètes ou publiables de votre compte lors du développement de votre intégration Stripe.

Limiter les adresses IP pouvant envoyer des requêtes à l’API

Vous pouvez renforcer la sécurité d’une clé secrète ou limitée en limitant le nombre d’adresses IP pouvant l’utiliser pour envoyer des requêtes à l’API. De plus, vous pouvez limiter une clé à une ou plusieurs adresses IP ou à une plage d’adresses IP.

Révéler une clé API secrète pour le mode test

Vous pouvez révéler une clé API secrète en mode test autant de fois que vous le souhaitez.

Pour révéler une clé secrète en mode test :

1. Dans le Dashboard des développeurs, sélectionnez l’onglet Clés API.
2. Dans la liste **Clés Standard , à la ligne ** Clé secrète, cliquez sur Révéler la clé de test.
3. Copiez la valeur de la clé en cliquant sur celle-ci.
4. Enregistrez la valeur de la clé.
5. Cliquez sur Masquer la clé test.

Révéler une clé API secrète ou limitée pour le mode production

Pour des raisons de sécurité, en mode production, Stripe n’affiche les clés API secrètes ou limitées qu’une seule fois. Conservez la clé en lieu sûr. Pour vous aider à vous souvenir de l’endroit où vous la conservez, vous pouvez ajouter une note à ce propos dans le Dashboard. Si vous perdez la clé, vous pouvez l’échanger ou la supprimer et en créer une autre.

Pour révéler une clé secrète ou limitée en mode production et y joindre une note :

1. Dans le Dashboard des développeurs, sélectionnez l’onglet Clés API.
2. Dans la liste Clés standard ou Clés limitées, recherchez la ligne de la clé que vous souhaitez révéler, puis cliquez sur le bouton Révéler la clé de production correspondant.
3. Copiez la valeur de la clé en cliquant sur celle-ci.
4. Enregistrez la valeur de la clé.
5. Cliquez sur Masquer la clé test.
6. Cliquez sur le menu déroulant () à côté de la touche, puis sélectionnez Modifiez la clé….
7. Dans le champ Remarque, saisissez l’emplacement où vous avez enregistré la clé, puis cliquez sur Enregistrer.
8. Si vous avez créé la clé avant que Stripe n’introduise cette fonctionnalité, cliquez sur Masquer la clé de production.

Échanger une clé API

L’invalidation d’une clé la révoque et génère une clé de remplacement. Vous pouvez annuler une clé immédiatement ou planifier une invalidation à intervalles réguliers. Vous pouvez par exemple avoir besoin d’échanger une clé dans les scénarios suivants :

• Si vous perdez une clé secrète ou une clé limitée en mode production, vous ne pouvez pas la récupérer à partir du Dashboard et vous devez la remplacer.
• Si une clé secrète ou limitée est compromise, vous devez la révoquer pour bloquer toute requête à l’API potentiellement malveillante.
• Votre politique exige de révoquer les clés à intervalles réguliers.

Pour échanger une clé API :

1. Ouvrez la page clés API.
2. Dans la ligne correspondant à la clé à échanger, cliquez sur le menu déroulant (), puis sélectionnez Échanger la clé….
3. Choisissez une date d’expiration dans le menu déroulant Expiration.
4. Cliquez sur Rouler la clé API
5. La boîte de dialogue affiche la nouvelle valeur de la clé. Copiez la valeur en cliquant sur la clé.
6. Enregistrez la valeur de la clé. Vous ne pourrez pas la récupérer plus tard.
7. Dans le champ Ajouter une note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Terminé ou Enregistrer.

Si vous avez sélectionné Maintenant pour le champ Expiration, nous supprimerons l’ancienne clé. Si vous avez sélectionné une autre durée, vous verrez le temps restant avant que l’expiration de la clé s’affiche sous son nom.

Vous pouvez utiliser la nouvelle clé immédiatement, indépendamment de la date d’expiration de l’ancienne clé.

Lorsque vous échangez une clé publiable, le nom de la clé de remplacement est toujours Publishable key. Lorsque vous échangez une clé secrète, le nom de la clé de remplacement est toujours Secret key. Lorsque vous échangez une clé limitée, le nom de la clé de remplacement est identique à celui de la clé échangée. Vous pouvez renommer une clé secrète ou limitée en cliquant sur le menu déroulant correspondant et en sélectionnant Modifier la clé….

Supprimer une clé API secrète ou limitée

Si vous supprimez une clé, tout code qui utilise cette clé ne peut plus effectuer d’appels à l’API. Créez une nouvelle clé et mettez à jour le code pour l’utiliser.

Pour supprimer une clé :

1. Dans le Dashboard des développeurs, sélectionnez l’onglet Clés API.
2. Recherchez la clé que vous souhaitez supprimer dans la liste Clés standards ou Clés limitées. Cliquez sur l’icône du menu de débordement () dans la ligne de cette clé, puis sélectionnez Supprimer la clé….
3. Dans la boîte de dialogue Supprimer la clé API, si vous êtes sûr de vouloir supprimer la clé, cliquez sur Supprimer la clé. Sinon, cliquez sur Annuler.

Créer une clé API secrète

Pour créer une clé API secrète :

1. Ouvrez la page clés API.
2. Cliquez sur Créer une clé secrète.
3. Stripe envoie un code de vérification à votre adresse courriel ou par message texte. (Le courriel ou le message texte peut prendre un certain temps à arriver.) Saisissez le code dans la boîte de dialogue. Au besoin, cliquez sur Continuer pour poursuivre.
4. Saisissez un nom dans le champ Nom de la clé.
5. Cliquez sur Créer
6. La boîte de dialogue affiche la nouvelle valeur de la clé. Copiez la valeur en cliquant sur la clé.
7. Enregistrez la valeur de la clé. Vous ne pourrez pas la récupérer plus tard.
8. Dans le champ Ajouter une note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Terminé.

Créer une clé API limitée

Une clé API limitée accorde uniquement le niveau d’accès que vous précisez.

Pour créer une clé API limitée :

1. Ouvrez la page clés API.
2. Vous pouvez créer une clé limitée à partir de zéro ou commencer par cloner une clé limitée existante.
   • Pour créer une clé limitée de toutes pièces, cliquez sur Créer une clé limitée. Dans ce cas, la valeur par défaut pour toutes les autorisations est Aucune.
   • Pour cloner une clé existante, dans la ligne de la clé que vous souhaitez cloner, cliquez sur le menu déroulant (), puis sélectionnez Dupliquer la clé…. Dans ce cas, la valeur par défaut pour chaque autorisation est sa valeur dans la clé clonée.
3. Dans le champ Nom de la clé, entrez un nom. Si vous avez cloné une clé existante, le nom par défaut est le nom de la clé clonée.
4. Pour chaque ressource à laquelle la nouvelle clé doit accéder, sélectionnez l’autorisation à accorder pour cette clé. Si vous utilisez Connect, vous pouvez également sélectionner l’autorisation à accorder lors de l’accès aux comptes connectés. Les autorisations disponibles sont Aucune, Lecture ou Écriture.
5. Cliquez sur Créer une clé.
6. Stripe envoie un code de vérification à votre adresse courriel ou par message texte. (Le courriel ou le message texte peut prendre un certain temps à arriver.) Saisissez le code dans la boîte de dialogue. Au besoin, cliquez sur Continuer pour poursuivre.
7. La boîte de dialogue affiche la nouvelle valeur de la clé. Copiez la valeur en cliquant sur la clé.
8. Enregistrez la valeur de la clé. Vous ne pourrez pas la récupérer plus tard.
9. Dans le champ Ajouter une note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Terminé.

Limiter les clés secrètes ou limitée à une liste ou une plage d’adresses IP

Pour limiter les requêtes API utilisant une clé à une ou plusieurs adresses IP spécifiques ou à une plage d’adresses IP :

1. Ouvrez la page clés API.
2. Dans la liste Clés standard ou Clés limitées, cliquez sur le menu déroulant () à côté de la clé que vous souhaitez révéler, puis sélectionnez Gérer les restrictions des adresses IP….
3. Cliquer sur Limiter l’utilisation à un groupe d’adresses IP.
4. Entrez une adresse IP ou une plage d’adresses IP :
   • Pour une adresse IP individuelle, entrez-la dans le champ Adresse IP.
   • Pour une plage d’adresses IP, entrez la plage au format Classless Inter-Domain Routing (CIDR). Dans le cham Adresse IP, entrez la première adresse dans la plage. Dans le champ CIDR, entrez la taille du préfixe du réseau.
   • Vous pouvez également sélectionner l’onglet Gestion groupée et saisir des adresses IP et des plages individuelles, séparées par des espaces. Les modifications apportées dans un onglet sont affichées dans l’autre onglet.
5. Pour ajouter une autre adresse ou plage, cliquez sur + Ajouter.
6. Cliquez sur Enregistrer.

Modifier le nom ou la note d’une clé API secrète ou limitée

Pour modifier le nom ou le texte de la note d’une clé secrète ou limitée :

1. Ouvrez la page clés API.
2. Dans la ligne correspondant à la clé que vous souhaitez modifier, cliquez sur le menu déroulant (), puis sélectionnez Modifier la clé….
3. Si vous souhaitez modifier le nom de la clé, saisissez le nouveau nom dans le champ Nom de la clé.
4. Si vous souhaitez modifier le texte de la note, saisissez le nouveau texte dans Note.
5. Cliquez sur Enregistrer.

Afficher les journaux des requêtes d’API

Pour ouvrir les journaux des requêtes d’API, cliquez sur le menu de débordement () de n’importe quelle clé, puis sélectionnez **Afficher les journaux des requêtes **. L’ouverture des journaux vous redirige au Dashboard Stripe principal.