API et webhooks

Les demandes de photos se créent, s'activent et se suivent aussi depuis vos outils, avec les mêmes règles que l'interface Web.

L'API

API publique versionnée, décrite par une spécification OpenAPI 3.1.
Clés API propres à chaque espace, avec trois niveaux : lecture seule, écriture, et écriture owner, seul niveau qui peut engager des crédits.
Le secret d'une clé n'est affiché qu'une fois ; il se transmet dans l'en-tête Authorization, jamais dans une URL.
Les requêtes de modification sont idempotentes : rejouer une requête avec la même clé d'idempotence ne crée rien deux fois.
Limite de 600 requêtes par minute et par clé (fenêtre fixe).

Événements envoyés aux adresses https de votre choix : demande activée, annulée ou échue, photos soumises, reprise soumise ou échue.
Chaque message est signé (HMAC-SHA256) et porte un identifiant d'événement pour écarter les doublons.
En cas d'échec, jusqu'à 9 tentatives espacées ; un endpoint en échec depuis 72 heures est désactivé.
Le secret de signature n'est affiché qu'une fois et peut être renouvelé avec 24 heures de chevauchement.

Les clés API et les webhooks sont gérés par le propriétaire de l'espace, depuis l'interface Web.