Clés API

Stripe authentifie vos requêtes API grâce aux clés API de votre compte. Si une requête ne contient pas de clé valide, Stripe renvoie une erreur de requête non valide. Si une requête contient une clé supprimée ou expirée, Stripe renvoie une erreur d’authentification.

Utilisez le Dashboard des développeurs pour créer, révéler, supprimer et invalider des clés API. Pour accéder à vos clés API v1, sélectionnez l’onglet Clés API dans votre Dashboard.

Modes test VS mode production

Toutes les requêtes à l’API Stripe sont effectuées en mode test ou en mode production. Utilisez le mode test pour accéder aux données de test et le mode production pour accéder aux données réelles du compte. Chaque mode possède son propre jeu de clés API. Les objets accessibles dans un mode ne le sont pas dans l’autre. Par exemple, un objet Product en mode test ne peut pas être utilisé dans le cadre d’un paiement en mode production.

Clés secrètes et publiables

Tous les comptes disposent par défaut de quatre clés API au total, deux pour le mode test et deux pour le mode production :

• Clé secrète du mode test : utilisez cette clé pour authentifier les requêtes sur votre serveur en mode test. Par défaut, vous pouvez l’utiliser pour effectuer n’importe quelle requête API sans restriction.
• Clé publiable du mode test : utilisez cette clé à des fins de test dans le code côté client de votre application Web ou mobile.
• Clé secrète du mode production : utilisez cette clé pour authentifier les requêtes sur votre serveur en mode production. Par défaut, vous pouvez l’utiliser pour effectuer n’importe quelle requête API sans restriction.
• Clé publiable du mode production : utilisez cette clé dans le code côté client de votre application Web ou mobile lorsque votre application est prête à être lancée.

Vous pouvez trouver vos clés secrètes et publiables dans les clés API. Lorsque vous êtes connecté, la documentation de Stripe alimente automatiquement les exemples de code avec vos clés API en mode test (vous seul pouvez voir ces valeurs). Si vous n’êtes pas connecté, nos exemples de code incluent des clés API générées aléatoirement. Vous pouvez les remplacer par vos propres clés de test ou vous connecter pour voir les exemples de code remplis avec vos clés API de test. Si vous ne pouvez pas voir vos clés API, demandez au propriétaire de votre compte Stripe de vous ajouter à leur équipe, avec les permissions appropriées.

Le tableau suivant contient des exemples de clés API de test secrète et publique générées de manière aléatoire :

Protégez vos clés

N’importe qui peut utiliser votre clé API secrète en mode production pour effectuer un appel à l’API au nom de votre compte, par exemple pour créer un paiement ou procéder à un remboursement. Protégez vos clés en suivant les bonnes pratiques relatives aux clés API secrètes.

Personnaliser l’accès à l’API avec des clés API limitées

Pour fournir un accès limité à l’API, créez des clés API limitées. Vous pouvez configurer une clé API limitée pour autoriser l’accès en lecture ou en écriture à des ressources spécifiques de l’API. Lorsque vous utilisez des microservices qui interagissent avec l’API en votre nom, définissez des clés limitées qui autorisent uniquement l’accès minimal requis par ces microservices. Par exemple, si vous utilisez un service de surveillance des litiges, créez une clé limitée qui fournit uniquement un accès en lecture aux ressources relatives aux litiges. Cette clé permet au service d’obtenir les données dont il a besoin, mais pas d’apporter des modifications ou d’accéder à d’autres données.

Les clés limitées ne peuvent interagir qu’avec une partie de l’API Stripe, car elles sont uniquement destinées à limiter les risques associés à l’utilisation ou au développement de microservices. Par ailleurs, elles ne doivent pas remplacer les clés API secrètes ou publiables de votre compte lors du développement de votre intégration Stripe.

Limiter les adresses IP pouvant envoyer des requêtes à l’API

Vous pouvez renforcer la sécurité d’une clé secrète ou limitée en limitant le nombre d’adresses IP pouvant l’utiliser pour envoyer des requêtes à l’API. De plus, vous pouvez limiter une clé à une ou plusieurs adresses IP ou à une plage d’adresses IP.

Révéler une clé API secrète pour le mode test

En mode test, vous pouvez révéler une clé API secrète autant de fois que vous le souhaitez.

Pour révéler une clé secrète en mode test :

1. Dans le Dashboard des développeurs, sélectionnez l’onglet Clés API.
2. Dans la liste **Clés Standard **, à la ligne Clé secrète, cliquez sur Révéler la clé de test.
3. Copiez la valeur de la clé en cliquant dessus.
4. Enregistrez la valeur de la clé.
5. Cliquez sur Masquer la clé de test.

Révéler une clé API secrète ou limitée pour le mode production

Pour des raisons de sécurité, en mode production, Stripe n’affiche les clés API secrètes ou limitées qu’une seule fois. Conservez la clé en lieu sûr. Pour vous aider à vous souvenir de l’endroit où vous la conservez, vous pouvez ajouter une note à ce propos dans le Dashboard. Si vous perdez la clé, vous pouvez l’invalider ou la supprimer et en créer une autre.

Pour révéler une clé secrète ou limitée en mode production et ajouter une note :

1. Dans le Dashboard des développeurs, sélectionnez l’onglet Clés API.
2. Dans la liste Clés standard ou Clés limitées, recherchez la ligne de la clé que vous souhaitez révéler, puis cliquez sur le bouton Révéler la clé de production correspondant.
3. Copiez la valeur de la clé en cliquant dessus.
4. Enregistrez la valeur de la clé.
5. Cliquez sur Masquer la clé de test.
6. Cliquez sur le menu de débordement () en regard de la clé, puis sélectionnez Modifier la clé….
7. Dans le champ Note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Enregistrer.
8. Si vous avez créé la clé avant que Stripe ne propose cette fonctionnalité, cliquez sur Masquer la clé de production.

Invalider une clé API

L’invalidation d’une clé la révoque et génère une clé de remplacement. Vous pouvez invalider une clé immédiatement ou planifier une invalidation à intervalles réguliers. Vous pouvez, par exemple, avoir besoin d’invalider une clé dans les scénarios suivants :

• Vous perdez une clé secrète ou une clé limitée en mode production, et ne pouvez pas la récupérer à partir du Dashboard ; vous devez alors la remplacer.
• L’une de vos clés secrètes ou limitées est compromise, et vous devez la révoquer pour bloquer toute requête à l’API potentiellement malveillante.
• Votre politique exige de révoquer les clés à intervalles réguliers.

Pour invalider une clé API :

1. Ouvrez la page Clés API.
2. Dans la ligne correspondant à la clé à invalider, cliquez sur le menu de débordement (), puis sélectionnez Invalider la clé….
3. Choisissez une date d’expiration dans le menu déroulant Expiration.
4. Cliquez sur Invalider la clé API.
5. La boîte de dialogue affiche la nouvelle valeur de la clé. Copiez-la en cliquant dessus.
6. Enregistrez la valeur de la clé. Vous ne pourrez pas la récupérer plus tard.
7. Dans le champ Ajouter une note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Terminé ou sur Enregistrer.

Si vous choisissez Maintenant pour le champ Expiration, nous supprimons l’ancienne clé. Si vous avez sélectionné une autre durée, le temps restant avant l’expiration de la clé s’affiche sous son nom.

Vous pouvez utiliser la nouvelle clé immédiatement, indépendamment de la date d’expiration de l’ancienne clé.

Lorsque vous invalidez une clé publiable, le nom de la clé de remplacement est toujours Publishable key. Lorsque vous invalidez une clé secrète, le nom de la clé de remplacement est toujours Secret key. Lorsque vous invalidez une clé limitée, le nom de la clé de remplacement est identique à celui de la clé invalidée. Vous pouvez renommer une clé secrète ou limitée en cliquant sur le menu de débordement correspondant et en sélectionnant Modifier la clé….

Supprimer une clé API secrète ou limitée

Si vous supprimez une clé, tout code qui utilise cette clé ne peut plus effectuer d’appels à l’API. Créez une nouvelle clé et mettez à jour le code pour l’utiliser.

Pour supprimer une clé :

1. Dans le Dashboard des développeurs, sélectionnez l’onglet Clés API.
2. Localisez la clé que vous souhaitez supprimer dans la liste des Clés standard ou des Clés limitées. Cliquez sur l’icône de menu de débordement () dans la ligne de cette clé, puis sélectionnez Supprimer la clé….
3. Dans la boîte de dialogue Supprimer la clé API, si vous êtes sûr de vouloir supprimer la clé, cliquez sur Supprimer la clé. Sinon, cliquez sur Annuler.

Créer une clé API secrète

Pour créer une clé API secrète :

1. Ouvrez la page Clés API.
2. Cliquez sur Créer une clé secrète.
3. Stripe envoie un code de vérification sur votre adresse e-mail ou par SMS (l’e-mail ou le SMS peut prendre un certain temps à arriver). Saisissez le code dans la boîte de dialogue. Au besoin, cliquez sur Continuer pour poursuivre.
4. Saisissez un nom dans le champ Nom de la clé.
5. Cliquez sur Créer.
6. La boîte de dialogue affiche la nouvelle valeur de la clé. Copiez-la en cliquant dessus.
7. Enregistrez la valeur de la clé. Vous ne pourrez pas la récupérer plus tard.
8. Dans le champ Ajouter une note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Terminé.

Créer une clé API limitée

Une clé API limitée accorde uniquement le niveau d’accès que vous spécifiez.

Pour créer une clé API limitée :

1. Ouvrez la page Clés API.
2. Vous pouvez créer une clé limitée de toutes pièces ou dupliquer une clé limitée existante.
   • Pour créer une clé limitée de toutes pièces, cliquez sur Créer une clé limitée. Dans ce cas, la valeur par défaut pour toutes les autorisations est Aucune.
   • Pour dupliquer une clé existante, cliquez sur le menu de débordement () en regard de la ligne de la clé à dupliquer, puis sélectionnez Dupliquer la clé…. Dans ce cas, la valeur par défaut de chaque autorisation correspond à sa valeur dans la clé clonée.
3. Dans le champ Nom de la clé, saisissez un nom. Si vous avez dupliqué une clé existante, le nom par défaut est celui de la clé dupliquée.
4. Pour chaque ressource à laquelle la nouvelle clé doit accéder, sélectionnez l’autorisation à accorder pour cette clé. Si vous utilisez Connect, vous pouvez également sélectionner l’autorisation à accorder lors de l’accès aux comptes connectés. Les autorisations disponibles sont Aucune, Lecture ou Écriture.
5. Cliquez sur Créer une clé.
6. Stripe envoie un code de vérification sur votre adresse e-mail ou par SMS (l’e-mail ou le SMS peut prendre un certain temps à arriver). Saisissez le code dans la boîte de dialogue. Au besoin, cliquez sur Continuer pour poursuivre.
7. La boîte de dialogue affiche la nouvelle valeur de la clé. Copiez-la en cliquant dessus.
8. Enregistrez la valeur de la clé. Vous ne pourrez pas la récupérer plus tard.
9. Dans le champ Ajouter une note, saisissez l’emplacement où vous avez enregistré la clé et cliquez sur Terminé.

Limiter les clés secrètes ou limitées à une liste ou une plage d’adresses IP

Pour limiter les requêtes API utilisant une clé à une ou plusieurs adresses IP spécifiques ou à une plage d’adresses IP :

1. Ouvrez la page Clés API.
2. Dans la liste Clés standard ou Clés limitées, cliquez sur le menu de débordement () en regard de la clé que vous souhaitez révéler, puis sélectionnez Gérer les restrictions des adresses IP….
3. Cliquez sur Limiter l’utilisation à un ensemble d’adresses IP.
4. Saisissez une adresse IP ou une plage d’adresses IP :
   • Pour une adresse IP individuelle, renseignez-la dans le champ Adresse IP.
   • Pour une plage d’adresses IP, entrez la plage en notation CIDR (Classless Inter-Domain Routing). Dans le champ Adresse IP, saisissez la première adresse de la plage. Dans le champ CIDR, entrez la taille du préfixe réseau.
   • Vous pouvez également sélectionner l’onglet Gestion en bloc et saisir des adresses IP individuelles et des plages, séparées par des espaces. Les modifications apportées dans un onglet apparaissent dans l’autre onglet.
5. Pour ajouter une autre adresse ou plage, cliquez sur + Ajouter.
6. Cliquez sur Enregistrer.

Modifier le nom ou la note d’une clé API secrète ou limitée

Pour modifier le nom ou le texte de la note d’une clé secrète ou limitée :

1. Ouvrez la page Clés API.
2. Dans la ligne correspondant à la clé à modifier, cliquez sur le menu de débordement (), puis sélectionnez Modifier la clé….
3. Si vous souhaitez modifier le nom de la clé, saisissez le nouveau nom dans le champ Nom de la clé.
4. Si vous souhaitez modifier le texte de la note, saisissez le nouveau texte dans Note.
5. Cliquez sur Enregistrer.

Afficher les logs de requêtes API

Pour ouvrir les logs des requêtes API, cliquez sur le menu de débordement () de n’importe quelle clé, puis sélectionnez Afficher les logs des requêtes. L’ouverture des logs vous redirige vers le Dashboard Stripe principal.