Authentification et clés API

Authentifiez les requêtes de l’API Kilo IoT avec des clés limitées — en-têtes X-API-Key et X-Organization-Id, clés par intégration.

Chaque requête API — REST ou gRPC — est authentifiée avec une clé API à périmètre défini. Créez, définissez le périmètre, faites tourner et révoquez les clés dans Paramètres → Clés API; cette page explique comment les requêtes s'authentifient.

Comment les requêtes s'authentifient

• X-API-Key — votre clé API (format kilo_<key>). Envoyez-la avec chaque requête.

• X-Organization-Id — l'organisation dans laquelle la requête s'exécute. Elle doit correspondre à l'organisation dans laquelle la clé a été créée. Certaines opérations acceptent également l'organisation comme un organizationId paramètre de requête au lieu de l’en-tête.

Toutes les requêtes transitent via TLS.

Étendues

Les clés ont un périmètre défini. La plupart des sections disposent de Lecture et Écriture périmètres distincts ; certains — comme la télémétrie et les données d'abonnement — sont en lecture seule. Une clé n'accorde que ce que vous sélectionnez lors de sa création ; n'accordez donc que les périmètres dont l'intégration a besoin. Chaque point de terminaison dans le référence de l'API indique le périmètre requis.

Les Créer une clé API La boîte de dialogue demande un nom, une date d'expiration facultative et les périmètres eux-mêmes — chaque périmètre est décoché par défaut, donc une clé n'accorde rien tant que vous ne le précisez pas.

Manipuler les clés en toute sécurité

• La valeur complète de la clé est affichée une seule fois lors de la création ; seul un court préfixe reste visible ensuite. Stockez-la immédiatement dans un gestionnaire de secrets ou un coffre-fort.

• Utilisez une clé distincte par intégration afin que l'une puisse être révoquée sans perturber les autres.

• Faites tourner ou révoquez une clé immédiatement si elle a pu être exposée ; la rotation est la seule voie de récupération pour une clé perdue.

• N'intégrez jamais une clé dans du code côté client et ne la validez jamais dans le contrôle de source.