Développeurs

Authentification

Authentifiez-vous avec votre clé API Ora, et renouvelez-la ou révoquez-la.

Votre clé API

Envoyez votre clé à chaque requête, dans l'en-tête Authorization :

Authorization: Bearer ora_YOUR_API_KEY

Format. ora_ suivi de 43 caractères (lettres, chiffres, - et _), soit 47 au total. Tout autre format est refusé avec un 401 avant même que la clé ne soit recherchée.
Une clé par compte. Elle agit en votre nom : elle voit vos tokens, vos wallets et votre portfolio, et ceux de personne d'autre.
Gardez-la là où vous seul pouvez y accéder. Sur un serveur, dans une variable d'environnement ou un gestionnaire de secrets, ou dans le stockage protégé d'une app ou d'une extension de navigateur installée sur votre propre appareil. Ne la mettez jamais dans le code d'un site web, dans une URL, dans une query string ni dans un dépôt de code. Ora n'en conserve qu'un hash et ne peut pas vous la montrer à nouveau.
Pas d'étape de connexion, pas de session. Il n'y a rien à rafraîchir : la clé fonctionne jusqu'à ce que vous la renouveliez ou la révoquiez, ou jusqu'à ce que l'accès API soit désactivé sur votre compte.

La fenêtre API Key

Dans l'app, cliquez sur votre photo de profil en haut à droite, puis sur API Key. La fenêtre affiche :

votre clé, avec un badge Active ou Inactive qui vous indique si l'accès API est activé. Une fois la fenêtre fermée, la clé ne s'affiche plus que masquée ;
le bouton Generate key, ou Generate new key si vous avez déjà une clé ;
la Base URL à appeler, avec un bouton de copie.

Si l'accès API n'est pas activé, la fenêtre l'indique au lieu d'afficher le bouton : contactez le support Ora pour le faire activer.

Gérer votre clé

Pour	Action	Effet
Créer	Fenêtre API Key → Generate key	Affichée une seule fois. Copiez-la tout de suite.
Renouveler	Fenêtre API Key → Generate new key	L'ancienne clé est refusée dès son prochain appel. Mettez d'abord vos scripts à jour.
Révoquer	`POST /me/api-key/revoke`, ou demandez au support Ora	Tout appel fait avec la clé est refusé à partir de ce moment.
Vérifier l'accès	Fenêtre API Key, ou `GET /auth/me`	Indique si l'accès API est activé et si une clé existe.

Si une clé fuit, renouvelez-la immédiatement : la clé compromise cesse de fonctionner à sa prochaine utilisation. L'accès API est aussi un interrupteur au niveau du compte, que le support Ora peut couper, ce qui bloque immédiatement toutes les clés du compte.

Développer pour d'autres personnes

Les bots, tableaux de bord, plateformes et extensions que vous développez pour vous-même n'ont besoin que de votre propre clé. Pour proposer votre logiciel à d'autres utilisateurs d'Ora, il vous faut d'abord l'accord écrit d'Ora : écrivez à contact@useora.xyz en expliquant ce qu'il fait et comment il gère les clés. Ensuite :

chaque utilisateur se connecte à votre logiciel avec sa propre clé, et peut la révoquer à tout moment ;
vous stockez les clés que vous recevez avec autant de précautions que la vôtre, vous ne les utilisez que pour ce que chaque utilisateur a demandé, et vous les supprimez quand un utilisateur s'en va ;
vous indiquez clairement que votre logiciel n'est pas exploité par Ora, et vous ne demandez jamais à personne une clé de récupération, une clé privée ou un code de connexion.

Les règles complètes figurent à la section 10.11 des Conditions générales d'utilisation.