# Obtenir une clé

> Comment demander une clé d'API Partenaire, ce qu'il faut mettre dans la demande, et ce qui revient.

Source: https://developers.backresto.com/fr/docs/access

Les clés partenaires sont émises à la main. Remplissez le formulaire ci-dessous
(ou écrivez-nous, cela atteint les mêmes personnes) et nous provisionnons la
clé puis l'envoyons au contact que vous désignez.

Une personne lit chaque demande, parce qu'une clé donne accès aux
enregistrements de conformité d'un restaurant et que le restaurant doit y avoir
consenti. Ce que cela vous coûte, c'est une réponse plutôt qu'une redirection ;
ce que cela garantit, c'est que personne ne peut se fabriquer un accès aux
données d'autrui. Le formulaire demande tout ce dont nous avons besoin pour la
traiter en une seule fois.

## Qui peut demander

L'un ou l'autre côté, mais le restaurant doit donner son accord dans les deux
cas.

- **Vous, l'intégrateur.** Dites de quels restaurants vous avez besoin et nommez
  votre contact sur place ; nous confirmons auprès d'eux avant d'émettre quoi
  que ce soit.
- **Le restaurant.** Il fait la demande pour vous et vous nomme. C'est la voie
  la plus rapide, parce que la confirmation a déjà eu lieu.

Nous n'émettrons pas de clé pour un restaurant qui n'y a pas consenti, et nous
n'élargirons pas une clé existante sans le leur redemander.

## Demander une clé

To request a key, write to contact@backresto.com or fill in the form at https://developers.backresto.com/fr/docs/access. Name the company, the product that will call the API, a technical contact, the restaurants and the scopes you need.

Si vous intégrez pour plusieurs restaurants qui appartiennent à des clients
différents, envoyez une demande par client. Une clé par client évite qu'une
révocation ne fasse tomber toutes les autres intégrations que vous exploitez.

Deux des champs méritent un mot. **L'environnement** compte parce que les clés
et les données sont propres à chaque environnement : une clé de production ne
vaut rien en préproduction, dites-nous donc si vous voulez d'abord développer
sur la préproduction. Et **les scopes** devraient être ceux que vous utilisez
plutôt que tous : il y en a vingt-six, un par [collection](https://developers.backresto.com/fr/docs/collections),
livraisons et leurs photographies comprises, et le restaurant lit cette liste
avant d'y consentir. Nommer les quatre dont vous avez besoin obtient un oui plus
vite que de les demander tous ; voyez [Authentification](https://developers.backresto.com/fr/docs/authentication)
pour ce que chacun ouvre.

Vous détenez déjà une clé et vous voulez une collection qu'elle n'atteint pas ?
C'est le même e-mail, et c'est une extension plutôt qu'une nouvelle clé : votre
secret ne change pas et rien n'a besoin d'être redéployé.

Vous préférez l'écrire vous-même ? [contact@backresto.com](mailto:contact@backresto.com?subject=Partner%20API%20key%20request)
avec les mêmes informations arrive dans la même boîte.

## Ce qui revient

Une seule valeur, de la forme `brp_<prefix>.<secret>`, envoyée au contact
technique que vous avez nommé.

**Stockez-la dès son arrivée et supprimez l'e-mail.** Nous ne conservons que le
préfixe public et une empreinte du secret, nous ne pouvons donc pas vous la
renvoyer. Si elle est perdue, nous révoquons cette clé et en émettons une
nouvelle, ce qui veut dire un aller-retour de plus.

Les clés n'expirent pas d'elles-mêmes. Elles restent valides jusqu'à révocation,
et c'est pourquoi la réponse à "quelqu'un a quitté l'équipe" est une rotation,
pas un haussement d'épaules.

## Modifier une clé plus tard

Tout cela passe par un e-mail, et tout cela demande l'accord du restaurant dès
que l'accès s'élargit :

| Demande | Ce qui se passe |
| --- | --- |
| **Ajouter un restaurant ou un scope** | Nous étendons la clé existante. Votre secret ne change pas et rien n'a besoin d'être redéployé. |
| **Faire tourner** | Nous émettons d'abord une seconde clé, vous la déployez, puis nous révoquons l'ancienne. Aucune fenêtre où ni l'une ni l'autre ne fonctionne. |
| **Révoquer** | Immédiat. La requête suivante avec cette clé répond `401`. |
| **Une clé à durée limitée** | Dites-le dans la demande. Pour un audit ponctuel ou une preuve de concept, une clé qui meurt d'elle-même est plus sûre qu'une clé qu'il faut penser à supprimer. |

Pour tout ce qui est urgent (un secret divulgué avant tout), écrivez à
[contact@backresto.com](mailto:contact@backresto.com?subject=Urgent%3A%20revoke%20Partner%20API%20key)
avec le **préfixe public** de la clé (la moitié `brp_…` avant le point) et dites
que c'est urgent. Ne nous envoyez jamais le secret lui-même, pas même pour
prouver de quelle clé vous parlez.

## En attendant

Rien dans [la documentation](https://developers.backresto.com/fr/docs) n'exige une clé pour être lu, et toutes les
formes sont sur ces pages : [les livraisons et leurs photographies](https://developers.backresto.com/fr/docs/deliveries),
[les collections et les enregistrements](https://developers.backresto.com/fr/docs/collections),
[le modèle d'erreur](https://developers.backresto.com/fr/docs/errors) et [la pagination](https://developers.backresto.com/fr/docs/pagination). Le
[document OpenAPI](https://api.backresto.com/openapi.json) est public lui aussi,
vous pouvez donc générer un client et développer contre lui avant que la clé
n'arrive.