Clés d'API
Le cycle de vie d'une clé sur Platform, pour Merchant API et Transaction Intelligence : ouvrir le sandbox, créer, copier le secret une seule fois, remplacer, révoquer.
Toutes les clés se gèrent sur la page Clés d'API, qui a une section par produit. Les deux familles sont distinctes : une clé Merchant API (nry_mer_…) n'ouvre pas Transaction Intelligence, et une clé Transaction Intelligence (nry_txn_…) n'ouvre pas Merchant API. Aucune route d'API ne crée ni ne révoque une clé : cela se fait ici.
Les deux familles côte à côte
| Merchant API | Transaction Intelligence | |
|---|---|---|
| Forme d'une clé Sandbox | nry_mer_sbx_<key_id>.<secret> | nry_txn_sbx_<key_id>.<secret> |
| Avant la première clé | Noryo doit avoir ouvert l'émission des clés Merchant API Sandbox | Un profil développeur complet, puis le sandbox activé par un owner ou un admin |
| Qui crée et révoque | Tout membre de l'organisation | owner, admin, developer |
| Ce qu'on choisit à la création | Un nom et les scopes enrich:read, enrich:write (les deux par défaut) | Un nom |
| Plafond de clés actives | Aucun | Oui : le plafond et le compte courant sont affichés, lus du serveur ; les clés révoquées ne comptent pas |
| Clé de production | Jamais créée sur Platform | nry_txn_live_…, sur la page Production Transaction Intelligence, quand toutes les conditions sont remplies |
Avant la première clé
Merchant API. Il n'y a rien à activer de votre côté. Tant que Noryo n'a pas ouvert l'émission des clés Merchant API Sandbox, un bandeau le dit et le serveur refuse la création avec le message Sandbox access is not enabled yet.. Le bouton reste cliquable exprès : c'est le serveur qui décide, et la page montre son refus.
Transaction Intelligence. Complétez d'abord le profil développeur de l'espace de travail. Un owner ou un admin clique ensuite sur Activer le sandbox Transaction Intelligence. L'activation est un choix de l'espace, journalisé, sans intervention de Noryo : elle ne crée rien d'autre qu'un droit d'émettre des clés nry_txn_sbx_. Les autres rôles voient l'état du sandbox, et la page leur dit qu'un owner ou un admin peut l'activer.
1. Créer une clé
Dans la section du produit, donnez un nom à la clé, qui sert à vous y retrouver, et, pour Merchant API, cochez les scopes. Cliquez sur Créer la clé (Merchant API) ou Créer une clé Sandbox (Transaction Intelligence).
Côté Transaction Intelligence, chaque formulaire porte une intention unique : un double clic ou un rejeu du navigateur présentent la même demande, que le serveur refuse la seconde fois. Il n'existe jamais deux clés pour une seule demande.
2. Copier le secret, une seule fois
Le secret complet s'affiche une seule fois, avec un bouton Copier. Noryo n'en conserve qu'un vérificateur et ne peut pas vous le redonner : une page rechargée ne le connaît plus. Côté Transaction Intelligence, la page propose aussi un premier appel curl prêt à coller, construit avec ce secret.
Rangez-le côté serveur, dans une variable d'environnement ou un gestionnaire de secrets, jamais dans un navigateur, un dépôt de code ou une application mobile. Voir Sécurité des secrets.
Si la page répond que cette demande a déjà été servie, une clé a bien été créée mais sa réponse s'est perdue en route. Son secret n'est pas récupérable : révoquez la clé apparue dans la liste et créez-en une autre.
3. Lire la liste
Chaque section liste les clés de l'espace de travail, révoquées comprises : le nom, de quoi reconnaître la clé (son préfixe et son identifiant public, jamais le secret), la date de création, le dernier usage et l'état ; côté Merchant API, les scopes aussi, et côté Transaction Intelligence, l'environnement. Les dates Transaction Intelligence sont en UTC.
Le « dernier usage » d'une clé Transaction Intelligence se met à jour au plus une fois par fenêtre et par clé, au rythme fixé par le serveur et rappelé sous la liste : c'est une indication, pas un horodatage à la requête près. Le détail des requêtes se lit sur la page Usage. Voir Usage.
4. Révoquer une clé
Cliquez sur Révoquer en face de la clé. La révocation est immédiate et définitive : dès la requête suivante, la clé est refusée en 401, et plus rien n'est compté pour elle. Elle reste dans la liste, à l'état révoqué, avec son historique d'usage. Platform n'offre aucun moyen de la réactiver.
Révoquer une clé Transaction Intelligence demande le rôle owner, admin ou developer ; une clé Merchant API peut être révoquée par tout membre. Si l'espace de travail ou son organisation n'est pas actif, aucune clé Transaction Intelligence ne peut être émise ni révoquée depuis Platform.
Remplacer une clé
Il n'existe pas de rotation, ni bouton ni route. On remplace une clé en deux gestes visibles, dont chacun laisse sa trace :
- Créez une nouvelle clé dans le même espace de travail.
- Déployez-la à la place de l'ancienne.
- Vérifiez dans la liste que la nouvelle sert et que l'ancienne ne sert plus.
- Révoquez l'ancienne.
Plusieurs clés actives peuvent coexister, ce qui permet de changer de clé sans interruption. Côté Transaction Intelligence, si le plafond est atteint, révoquez une clé inutilisée avant d'en créer une. Voir Rotation et Révocation.
Pour aller plus loin
- Clés API de Merchant API : anatomie d'une clé, scopes, ce que partagent les clés d'un espace.
- Usage et clés d'API de Transaction Intelligence : la section Transaction Intelligence en détail.
- Accès production : quand une clé de production peut exister.
Publié le 2026-10-09 10:17 UTC (version 1).