# Révocation

> Révoquer une clé dans Platform, ce que voit ensuite un appel avec cette clé, et ce qui survit : résultats, idempotence, déduplication et historique.

Révoquer une clé la rend définitivement inutilisable. C'est le geste à faire après une fuite, au départ d'un prestataire, ou à la fin d'une [rotation](https://developer.noryo.app/fr-FR/merchant/authentication/rotation).

## Révoquer une clé

Dans la page [Clés d'API](https://platform.noryo.app/keys) de Platform, cliquez sur **Révoquer** en face de la clé. La plateforme confirme : « Clé révoquée. Elle n'authentifie plus rien. » Si la clé l'était déjà, elle l'indique aussi. Tout membre de l'organisation peut révoquer les clés de ses workspaces, et chaque révocation est journalisée par Noryo.

## Ce que voit ensuite un appel avec cette clé

Dès la requête suivante, la clé est refusée :

```json
{
  "type": "https://developer.noryo.app/errors/invalid_api_key",
  "title": "Invalid API credential",
  "status": 401,
  "code": "invalid_api_key",
  "detail": "The API credential is missing, malformed, revoked, or unknown.",
  "request_id": "req_…"
}
```

- Le code est le même que pour une clé inconnue : la réponse ne dit pas qu'une clé a existé.
- Le refus intervient avant le contrôle de débit et avant le moteur : rien n'est calculé, rien n'est facturé, aucun jeton n'est consommé.
- Une clé révoquée ne peut pas s'utiliser pour relire, rejouer ou rafraîchir, y compris les résultats qu'elle a créés.

## Ce qui survit

| Élément | Après révocation |
|---|---|
| Résultats créés avec la clé | Restent lisibles par les autres clés du même workspace et du même environnement |
| Réponses mémorisées sous une `Idempotency-Key` | Restent rejouables par une autre clé du workspace, pendant les 24 heures de la fenêtre |
| Déduplication par `external_transaction_id` | Inchangée |
| La clé dans la liste | Reste affichée, à l'état révoquée, avec son historique |
| Autres clés du workspace | Continuent de fonctionner |

## Ce qui n'existe pas

- **Pas de réactivation.** Platform n'offre aucun moyen de rendre valide une clé révoquée : il faut en créer une nouvelle.
- **Pas de révocation par l'API.** La révocation se fait dans Platform ; aucune route de Noryo Merchant API ne gère les clés.
- **Pas de délai de grâce.** La clé ne fonctionne plus du tout après la révocation.

## Révocation et désactivation d'un compte

Une clé révoquée rend `401 invalid_api_key`. Une clé intacte dont l'organisation ou le workspace n'est plus actif rend `403 account_inactive` : ce n'est pas une révocation, et créer une nouvelle clé n'y change rien. Voir [account_inactive](https://developer.noryo.app/fr-FR/errors/account_inactive).

---

Page canonique : https://developer.noryo.app/fr-FR/merchant/authentication/revocation