Protéger tes jetons API

Un jeton API agit en ton nom dans ton espace de travail Music24. Conserve-le comme un mot de passe et révoque-le dans Paramètres, API, dès qu’il fuite.

Traite un jeton API comme un mot de passe. Quiconque le détient peut lire tes données Music24 et utiliser ton compte en ton nom dans cet espace de travail, jusqu’à ce que tu le révoques. Il ne peut pas changer ton e-mail, créer ou révoquer des jetons, ni supprimer ton compte : pour cela, il faut que tu sois connecté à l’app.

Le conserver en sécurité

• Un jeton commence par m24_. Nous affichons le jeton complet une seule fois, à sa création. Nous ne gardons qu’une empreinte à sens unique, nous ne pouvons donc pas le réafficher.
• Garde-le dans un gestionnaire de mots de passe, un gestionnaire de secrets ou une variable d’environnement serveur. Ne le mets jamais dans un dépôt de code public, une page web ou une app que d’autres peuvent télécharger.
• Donne à chaque app son propre jeton avec un nom clair. Tu pourras ainsi en révoquer un sans casser les autres. Tu peux avoir 5 jetons actifs.
• Un jeton fonctionne dans l’espace de travail où tu l’as créé, et uniquement là.

Révoquer un jeton

1. Ouvre Paramètres et sélectionne API. Dans les apps, touche ton avatar, puis Paramètres et API.
2. Dans Jetons, trouve le jeton par son nom et son préfixe, puis sélectionne Révoquer.
3. Confirme avec Révoquer le jeton. Toutes les apps qui utilisent ce jeton cessent aussitôt de fonctionner.

Quand un jeton s’arrête tout seul

• Tu quittes l’espace de travail, ou son propriétaire te retire.
• L’espace de travail quitte le plan Label. Les requêtes sont refusées jusqu’à ce qu’il retrouve l’accès à l’API.
• Tu supprimes ton compte. Tous les jetons sont révoqués.
• Se déconnecter n’arrête pas un jeton. Révoque-le dans Paramètres, API.

Clients IA (MCP)

Quand tu autorises un client IA, il reçoit un jeton pour ton espace de travail. Un client autorisé uniquement en lecture peut lire tes données, et toute modification est refusée. Un client autorisé à travailler pour toi peut aussi créer des visuels, programmer des posts et modifier des SmartLinks, et il te demande d’abord ton accord avant toute publication, utilisation de crédits ou suppression. Protège-le autant qu’un jeton API, car il lit tout ce qui se trouve dans l’espace de travail. Son jeton d’accès dure 1 heure. Le client le renouvelle tout seul et garde l’accès tant qu’il le renouvelle au moins une fois tous les 30 jours. Pour voir les clients que tu as autorisés, ouvre Paramètres → API → Apps connectées. Pour en couper un, sélectionne Révoquer puis Révoquer l’accès : il perd l’accès immédiatement. Besoin d’aide ? Écris à [email protected].

Questions

Articles associés