Authentification

Tous les endpoints de l’API Klozeo exigent une authentification par clé API.

Obtenir votre clé API

Connectez-vous à votre tableau de bord sur klozeo.com/dashboard, ouvrez API Keys et cliquez sur Nouvelle clé.

Votre clé API est affichée une seule fois, au moment de sa création : Klozeo ne conserve qu’une version hachée pour des raisons de sécurité. Copiez-la immédiatement et rangez-la en lieu sûr (un gestionnaire de mots de passe, un fichier .env).

Vous l’avez manquée ? Supprimez la clé et créez-en une nouvelle : cela prend 10 secondes.

Utiliser votre clé API

Passez la clé dans l’en-tête X-API-Key à chaque requête :

curl -H "X-API-Key: sk_live_your_api_key_here" \
  https://api.klozeo.com/api/v1/leads

Format des clés

Toutes les clés API suivent le format sk_live_<16-byte hex>.

Clients MCP et OAuth

Vous utilisez un client IA (Claude, Cursor, Cline…) ? Vous n’avez pas besoin de toucher à votre clé API. Les clients MCP passent par un flux d’autorisation dans le navigateur : connectez-vous une fois à votre compte Klozeo et le client enregistre une clé automatiquement. Voir Configuration MCP →

Accès et expiration

À la création d’une clé dans le tableau de bord, vous choisissez ce qu’elle peut faire et quand elle cesse de fonctionner. Accès complet est le choix par défaut : la clé peut tout ce que l’API permet. Une clé Lecture seule (read) lit comme un lecteur et ne modifie rien. Une clé Écriture seule (write) crée et met à jour des leads, des notes et des attributs personnalisés, et ne reçoit que l’ID et le résultat de chaque écriture. L’expiration est Jamais par défaut, ou 30, 90 ou 365 jours. Une clé expirée reste dans la liste jusqu’à sa révocation, et n’autorise plus aucune requête.

Sécurité

• Stockez votre clé dans une variable d’environnement : ne la codez jamais en dur dans le code source.
• Révoquez immédiatement les clés compromises depuis le tableau de bord : vos autres clés continuent de fonctionner. Une clé révoquée est supprimée ; seuls son nom et ses dates sont conservés.
• Pour isoler vos intégrations, créez une clé par intégration avec l’accès dont elle a besoin, et révoquez-les indépendamment.

La révocation prend effet à la requête suivante dont la vérification des identifiants commence après la validation de la révocation, pour l’API REST comme pour les requêtes classiques sur /mcp. Les clés révoquées, désactivées ou expirées reçoivent un HTTP 401. Si MCP ne peut pas vérifier l’identifiant en deux secondes, il refuse la requête avec un HTTP 503 ; réessayez plus tard. Une requête déjà refusée par une limite de débit locale peut continuer à renvoyer 429 sans accès.