Révocation

Révoquer une clé la rend définitivement inutilisable. C'est le geste à faire après une fuite, au départ d'un prestataire, ou à la fin d'une rotation.

Révoquer une clé

Dans la page Clés d'API de Platform, cliquez sur Révoquer en face de la clé. La plateforme confirme : « Clé révoquée. Elle n'authentifie plus rien. » Si la clé l'était déjà, elle l'indique aussi. Tout membre de l'organisation peut révoquer les clés de ses workspaces, et chaque révocation est journalisée par Noryo.

Ce que voit ensuite un appel avec cette clé

Dès la requête suivante, la clé est refusée :

{
  "type": "https://developer.noryo.app/errors/invalid_api_key",
  "title": "Invalid API credential",
  "status": 401,
  "code": "invalid_api_key",
  "detail": "The API credential is missing, malformed, revoked, or unknown.",
  "request_id": "req_…"
}

• Le code est le même que pour une clé inconnue : la réponse ne dit pas qu'une clé a existé.
• Le refus intervient avant le contrôle de débit et avant le moteur : rien n'est calculé, rien n'est facturé, aucun jeton n'est consommé.
• Une clé révoquée ne peut pas s'utiliser pour relire, rejouer ou rafraîchir, y compris les résultats qu'elle a créés.

Ce qui survit

Ce qui n'existe pas

• Pas de réactivation. Platform n'offre aucun moyen de rendre valide une clé révoquée : il faut en créer une nouvelle.
• Pas de révocation par l'API. La révocation se fait dans Platform ; aucune route de Noryo Merchant API ne gère les clés.
• Pas de délai de grâce. La clé ne fonctionne plus du tout après la révocation.

Révocation et désactivation d'un compte

Une clé révoquée rend 401 invalid_api_key. Une clé intacte dont l'organisation ou le workspace n'est plus actif rend 403 account_inactive : ce n'est pas une révocation, et créer une nouvelle clé n'y change rien. Voir account_inactive.