Authentification

Chaque requête porte votre clé dans l’en-tête Authorization.

curl https://localoge.com/api/v1/channel/ping \
  -H "Authorization: Bearer lok_live_a1b2c3d4e5f6a7b8c9d0e1f2.sk_9f8e7d6c5b4a39281706f5e4"

L’en-tête X-Api-Key est accepté à l’identique, sans le mot Bearer.

La forme d’une clé

lok_live_a1b2c3d4e5f6a7b8c9d0e1f2 . sk_9f8e7d6c5b4a39281706f5e4d3c2b1a0
└──────── identifiant public ────┘   └──────────── secret ─────────────┘

L’identifiant public sert à retrouver votre compte. Le secret prouve que c’est bien vous.

Le secret ne se retrouve pas

Nous ne le stockons nulle part : seule son empreinte cryptographique est conservée. Personne chez Localoge, administrateur compris, ne peut le relire. Une clé perdue ne se récupère pas, elle se remplace : nous en créons une nouvelle et révoquons l’ancienne.

Rangez-la dans votre gestionnaire de secrets dès sa réception.

Deux environnements, deux préfixes

Préfixe	Environnement
lok_test_	Sandbox. Rien n’est visible des voyageurs, aucun paiement réel.
lok_live_	Production.

C’est la clé qui porte l’environnement, jamais l’URL. Les deux se parlent au même endroit, ce qui vous évite une variable de configuration de plus. Voir Sandbox.

Le piège classique

Une variable d’environnement restée au test, et vous croyez travailler en production depuis trois jours. GET /ping renvoie le key_id employé : vérifiez-le au démarrage de votre service.

Rotation

Nous pouvons vous remettre une seconde clé avant de révoquer la première. Les deux fonctionnent en même temps, le temps que vous basculiez, sans interruption de service. Demandez-la nous.

Révocation

Si vous pensez qu’une clé a fuité, écrivez-nous : la révocation est immédiate et définitive. Une clé révoquée renvoie 401 UNAUTHORIZED dès la requête suivante.