MoraselL’API Morasel pour développeurs
Lisez et agissez sur les mêmes enregistrements que votre équipe utilise — conversations, clients, rendez-vous, commandes — avec des jetons dont vous fixez la portée, restreignez par IP et expirez selon votre propre calendrier.
Pourquoi une clé sans portée ni expiration est un risque
Une seule clé d’API sans portée, sans restriction d’IP et sans expiration est un risque permanent : si elle fuite, quiconque la trouve peut lire ou écrire tout ce que l’espace de travail permet. La plupart des intégrations n’ont besoin que d’une fraction de cet accès, pour une période fixe, depuis des systèmes connus.
- Un jeton à accès total peut lire ou écrire des enregistrements dont une intégration n’a jamais eu besoin.
- Un jeton sans expiration reste valide un an après la fin du projet qui l’a créé.
- Un jeton utilisable depuis n’importe quelle IP peut être rejoué depuis n’importe où si son texte en clair fuite.
- Une clé dont plus personne ne peut retrouver le texte en clair ne peut pas être vérifiée, seulement révoquée et remplacée.
Ce que Morasel enregistre pour chaque jeton
Un enregistrement de jeton par intégration, pour qu’un propriétaire voie ce qu’il peut faire et quand il a servi pour la dernière fois sans demander à l’équipe qui l’a créé.
- Nom du jeton
- L’étiquette que votre équipe donne au jeton, liée à l’intégration à laquelle il appartient.
- Préfixe
- Les premiers caractères du jeton, visibles après la création pour l’identifier sans le secret.
- Portées
- Les objets et actions que le jeton peut atteindre ; lecture par défaut, écriture accordée par objet.
- Liste d’IP autorisées
- Jusqu’à 20 adresses depuis lesquelles le jeton peut être utilisé ; vide signifie aucune restriction d’IP.
- Expiration
- Une date jusqu’à 365 jours après laquelle le jeton cesse de fonctionner.
- Dernière utilisation
- L’heure la plus récente où une requête s’est authentifiée avec ce jeton.
- Point de terminaison webhook
- L’URL et le secret de signature que vous enregistrez depuis l’espace de travail pour votre intégration.
De la création d’un jeton à sa rotation
Le secret en clair n’existe qu’une fois, à la création. Tout le reste repose sur le préfixe et les portées que vous avez définies.
Créez un jeton (propriétaire)
Nommez-le, choisissez ses portées, et définissez éventuellement une liste d’IP autorisées et une expiration allant jusqu’à 365 jours.
Copiez le secret une fois
Le jeton complet s’affiche une seule fois. Ensuite, seul son préfixe reste visible sur l’enregistrement.
Appelez l’API REST avec un en-tête Bearer
Authentifiez les requêtes contre les points de terminaison documentés ; chaque appel est vérifié selon les portées et la liste d’IP du jeton.
Enregistrez un point de terminaison webhook et conservez son secret de signature
Ajoutez l’URL du point de terminaison depuis l’espace de travail et conservez le secret de signature qu’il vous donne.
Faites tourner : créez le successeur, révoquez l’ancien
Émettez un nouveau jeton avant que l’ancien n’expire ou ne soit compromis, puis révoquez l’ancien une fois le nouveau actif.
Ce que voit le client
Un message envoyé via l’API ressemble exactement à un message envoyé depuis l’espace de travail — le client n’a aucun moyen de faire la différence.
Ce que voit votre équipe
L’activité d’un jeton est un enregistrement, pas un mystère dans les journaux.
- Les portées, la liste d’IP, l’expiration et la dernière utilisation de chaque jeton, sur un seul enregistrement.
- Le point de terminaison webhook et l’option de révéler ou de faire tourner son secret de signature.
- Un préfixe pour identifier un jeton en conversation sans jamais avoir besoin du secret à nouveau.
- Les événements de création et de révocation dans le même journal d’audit que tout le reste de l’espace de travail.
Qui peut faire quoi
Émettre et révoquer un accès reste réservé aux propriétaires de l’espace de travail, et chaque changement est enregistré.
- Seul un propriétaire de l’espace de travail peut créer ou révoquer un jeton d’API.
- Les portées sont en lecture par défaut ; l’accès en écriture à un objet est accordé explicitement, jamais supposé.
- Une liste d’IP autorisées, quand elle est définie, limite un jeton à jusqu’à 20 adresses connues.
- Chaque création et révocation de jeton figure dans le journal d’audit, avec qui l’a fait et quand.
Ce que Morasel ne fait pas
Les points de terminaison webhook sont enregistrés avec un secret de signature depuis l’espace de travail. Morasel ne publie pas de SDK ; l’API REST est documentée en OpenAPI. Enregistrer un endpoint conserve son URL et son secret de signature pour votre intégration.
Commencez à construire sur Morasel
Créez un espace de travail, émettez un jeton à portée définie, et lisez la référence OpenAPI des points de terminaison dont vous avez besoin.
Questions de développeurs
Comment obtenir un jeton ?
Un propriétaire de l’espace de travail le crée depuis celui-ci : nom, portées, et éventuellement une liste d’IP autorisées et une expiration. Le texte en clair s’affiche une fois à la création.
Quelles portées existent ?
L’accès en lecture est celui par défaut. L’accès en écriture à un objet précis — conversations, clients, rendez-vous, commandes — est accordé par portée, si bien qu’un jeton n’atteint que ce pour quoi il a été conçu.
Que fait la liste d’IP autorisées ?
Elle restreint le jeton à jusqu’à 20 adresses IP précises. Laissez-la vide et le jeton fonctionne depuis où que le secret soit utilisé ; définissez-la et les requêtes depuis d’autres adresses sont rejetées.
Combien de temps un jeton peut-il durer ?
Jusqu’à 365 jours. Passé ce délai, ou à la date que vous fixez, il cesse de s’authentifier et doit être remplacé.
Où se trouve la référence de l’API ?
L’API REST est documentée en OpenAPI sur /docs, couvrant les points de terminaison que les portées d’un jeton peuvent atteindre.