Comment m’authentifier?
Envoyez votre clé API dans l’en-tête x-api-key de chaque requête, à partir du serveur dont l’adresse IP est enregistrée pour cette clé.
Chaque requête transmet la clé dans un en-tête HTTP :
x-api-key: YOUR_API_KEY (à remplacer par votre clé API)
Les clés ont la forme hma_<prefix>_<secret>. Une clé ne s’affiche qu’une seule fois, au moment de sa création; enregistrez-la donc immédiatement dans le coffre de secrets de votre serveur. Gardez-la sur le serveur : ne la placez jamais dans un navigateur, une application mobile ou un dépôt public.
Une requête sans clé reconnue est refusée avec unauthenticated (HTTP 401). Une clé valide utilisée à partir d’une adresse qui n’est pas enregistrée pour elle est refusée avec ip_not_allowed (HTTP 403).