Authentification

Deux modes selon votre usage.

Clés API

Adaptées aux intégrations serveur.

Authorization: Bearer sk_live_XXXXXXXXXXXX

Créez une clé depuis Paramètres → API. Chaque clé porte des scopes :

• read:finance, write:finance
• read:accounting, write:accounting
• read:projects, write:projects
• admin:* (Super Admin uniquement)

OAuth 2.0

Adapté aux intégrations tierces multi-tenant.

• Endpoint autorisation : https://app.qyvn.io/oauth/authorize
• Endpoint token : https://api.qyvn.io/oauth/token
• Flows : authorization_code (avec PKCE), refresh_token

Rotation

Les clés peuvent être révoquées à tout moment. Prévoyez une rotation semestrielle. Les événements api_key.rotated sont émis sur webhook.

Rate limits

• 1000 req/min par clé
• 50 req/sec en burst

Headers de réponse :

X-RateLimit-Limit: 1000
X-RateLimit-Remaining: 987
X-RateLimit-Reset: 1730723400