# Authentification

> Authentifiez-vous avec votre clé API Ora, et renouvelez-la ou révoquez-la.

### Votre clé API

Envoyez votre clé à chaque requête, dans l'en-tête `Authorization` :

```
Authorization: Bearer ora_YOUR_API_KEY
```

- **Format.** `ora_` suivi de 43 caractères (lettres, chiffres, `-` et `_`), soit 47 au total. Tout autre format est refusé avec un `401` avant même que la clé ne soit recherchée.
- **Une clé par compte.** Elle agit en votre nom : elle voit vos tokens, vos wallets et votre portfolio, et ceux de personne d'autre.
- **Gardez-la là où vous seul pouvez y accéder.** Sur un serveur, dans une variable d'environnement ou un gestionnaire de secrets, ou dans le stockage protégé d'une app ou d'une extension de navigateur installée sur votre propre appareil. Ne la mettez jamais dans le code d'un site web, dans une URL, dans une query string ni dans un dépôt de code. Ora n'en conserve qu'un hash et ne peut pas vous la montrer à nouveau.
- **Pas d'étape de connexion, pas de session.** Il n'y a rien à rafraîchir : la clé fonctionne jusqu'à ce que vous la renouveliez ou la révoquiez, ou jusqu'à ce que l'accès API soit désactivé sur votre compte.

> **Warning:** **Toute personne qui détient votre clé peut agir sur votre compte**, y compris trader et lancer avec vos wallets. Traitez-la comme un mot de passe : ne la confiez qu'à des logiciels en qui vous avez confiance et qu'Ora a approuvés ([Développer pour d'autres personnes](#building-for-other-people)).

### La fenêtre API Key

Dans l'app, cliquez sur votre photo de profil en haut à droite, puis sur **API Key**. La fenêtre affiche :

- votre clé, avec un badge **Active** ou **Inactive** qui vous indique si l'accès API est activé. Une fois la fenêtre fermée, la clé ne s'affiche plus que masquée ;
- le bouton **Generate key**, ou **Generate new key** si vous avez déjà une clé ;
- la **Base URL** à appeler, avec un bouton de copie.

Si l'accès API n'est pas activé, la fenêtre l'indique au lieu d'afficher le bouton : contactez le support Ora pour le faire activer.

### Gérer votre clé

| Pour | Action | Effet |
|---|---|---|
| Créer | Fenêtre **API Key** → **Generate key** | Affichée une seule fois. Copiez-la tout de suite. |
| Renouveler | Fenêtre **API Key** → **Generate new key** | L'ancienne clé est refusée dès son prochain appel. Mettez d'abord vos scripts à jour. |
| Révoquer | `POST /me/api-key/revoke`, ou demandez au support Ora | Tout appel fait avec la clé est refusé à partir de ce moment. |
| Vérifier l'accès | Fenêtre **API Key**, ou `GET /auth/me` | Indique si l'accès API est activé et si une clé existe. |

Si une clé fuit, renouvelez-la immédiatement : la clé compromise cesse de fonctionner à sa prochaine utilisation. L'accès API est aussi un interrupteur au niveau du compte, que le support Ora peut couper, ce qui bloque immédiatement toutes les clés du compte.

### Développer pour d'autres personnes

Les bots, tableaux de bord, plateformes et extensions que vous développez pour vous-même n'ont besoin que de votre propre clé. Pour proposer votre logiciel à d'autres utilisateurs d'Ora, il vous faut d'abord l'accord écrit d'Ora : écrivez à contact@useora.xyz en expliquant ce qu'il fait et comment il gère les clés. Ensuite :

- chaque utilisateur se connecte à votre logiciel avec sa propre clé, et peut la révoquer à tout moment ;
- vous stockez les clés que vous recevez avec autant de précautions que la vôtre, vous ne les utilisez que pour ce que chaque utilisateur a demandé, et vous les supprimez quand un utilisateur s'en va ;
- vous indiquez clairement que votre logiciel n'est pas exploité par Ora, et vous ne demandez jamais à personne une clé de récupération, une clé privée ou un code de connexion.

Les règles complètes figurent à la section 10.11 des [Conditions générales d'utilisation](https://useora.xyz/terms).