Authentification
Clé API
- Dans l'app : Paramètres › API et webhooks › Créer une clé. Nommez-la d'après son usage (« n8n prod », « CRM »).
- Choisissez les scopes et le rôle, éventuellement une date d'expiration (1 à 730 jours).
- Copiez la clé
apo_…: elle n'est affichée qu'une fois. Replexa n'en garde qu'une empreinte SHA-256.
Envoyez-la dans l'en-tête Authorization (ou X-Api-Key, accepté pour les outils qui ne gèrent pas le Bearer) :
curl
curl "https://app.replexa.eu/api/v2/campaigns" -H "Authorization: Bearer apo_votre_cle"
Les clés se créent uniquement depuis l'interface : une clé ne peut pas fabriquer d'autres clés. GET /api-keys les liste (sans leur valeur) et DELETE /api-keys/{id} en révoque une immédiatement.
Scopes
Un scope a la forme ressource:action. Action : read, create, update, delete ou all. Ressource : l'une des valeurs ci-dessous, ou all. all:read donne une clé en lecture seule sur tout le workspace ; all:all donne tous les droits permis par le rôle.
accountscampaignsleadslead_listslead-labelsemailssubsequenceswebhookswebhook_eventsblock_list_entriesai_agentsapi_keyscustom_tagsanalyticsworkspaces
Chaque opération de la référence indique son scope. Les opérations sur les membres, les invitations et la facturation demandent un scope all:…. Sans le bon scope, l'API répond 403 avec Missing scope campaigns:update.
Rôles
Le rôle de la clé s'ajoute aux scopes. Une clé ne dépasse jamais le rôle de la personne qui l'a créée : si elle quitte le workspace, la clé est révoquée.
| Rôle | Peut |
|---|---|
viewer | Lire campagnes, leads, inbox, analytics, boîtes, agents. |
member | Créer et modifier ces ressources, envoyer des réponses, lancer des campagnes. |
admin | Gérer webhooks, intégrations, clés API, membres et réglages du workspace. |
La lecture des webhooks, de leurs évènements et des clés API demande déjà le rôle admin (ces objets donnent accès à des données ou des secrets).
Jetons OAuth (connecteurs MCP)
Claude, ChatGPT et les autres clients MCP obtiennent un jeton rxa_… par OAuth 2.1 (PKCE S256, enregistrement dynamique). Il s'utilise comme une clé : Authorization: Bearer rxa_…, valable une heure et renouvelé par le client. Lecture seule (replexa:read) ou lecture et écriture (replexa:write), avec le rôle de la personne qui a donné son accord. Voir le guide MCP.
Bonnes pratiques
- Une clé par outil ou par intégration, avec les seuls scopes utiles : elle se révoque sans casser le reste.
- Gardez la clé côté serveur (variables d'environnement, coffre de secrets), jamais dans une page web ou une application mobile.
- Fixez une expiration pour les clés de test ou de prestataires.
- Une clé exposée : révoquez-la dans Paramètres › API et webhooks, ou
DELETE /api-keys/{id}avec une autre clé admin.