Créer une clé API sur son CRM ou son e-mailing

Avant de cliquer où que ce soit, voici l’image qui rend tout le reste évident.

Dans un immeuble, un prestataire qui vient chaque semaine ne reçoit pas votre trousseau. Il reçoit un badge. Ce badge ouvre la porte de service et rien d’autre, il porte un nom sur le registre, et le gardien peut le désactiver du jour au lendemain.

Une clé API, c’est ce badge, sous la forme d’un long code du genre xkeysib-8f3a....

• Elle ne contient pas votre mot de passe et ne permet pas de le retrouver.
• Elle porte un nom que vous choisissez, pour savoir à qui elle sert.
• Elle se supprime en 1 clic, et l’accès s’arrête à la seconde.

C’est pour ça qu’on préfère toujours une clé à un mot de passe partagé. Un mot de passe prêté, vous ne savez plus qui l’a. Une clé, vous le savez toujours.

Faites le point sur ce que vous utilisez pour gérer vos contacts et vos envois.

• Un CRM range vos clients et vos prospects, avec leur historique. Par exemple HubSpot, Zoho, Pipedrive ou Axonaut.
• Un outil d’e-mailing envoie vos newsletters et vos relances. Par exemple Brevo, Mailchimp, Sarbacane ou Mailjet.

Parfois, un seul outil fait les 2. C’est le cas de Brevo et de HubSpot. Notez son nom, c’est votre point de départ.

Si vous ne savez pas ce que vous avez. Regardez le bas d’une de vos dernières newsletters, le nom de l’outil y figure presque toujours. Ou cherchez dans vos e-mails une facture avec le mot abonnement.

Connectez-vous à votre outil, sur un ordinateur de préférence, puis ouvrez ses Paramètres.

Cherchez une rubrique nommée API, Clés API, Développeurs ou Intégrations. Elle se niche souvent dans les réglages avancés, ou sous votre nom de compte en haut à droite.

• Si vous la trouvez, parfait, passez à l’étape suivante.
• Si vous tournez en rond, ne perdez pas de temps à explorer. Tapez le nom de votre outil suivi des mots clé API dans un moteur de recherche, la page d’aide officielle sort en 1er.

⚠ Les libellés changent, tout le temps. Ces outils redessinent leurs réglages plusieurs fois par an. Le mot API, lui, ne bouge jamais. Utilisez le champ de recherche des paramètres et tapez simplement API, c’est le raccourci le plus fiable.

Si vous utilisez l’un de ces outils, vous êtes au bon endroit en 1 clic. Connectez-vous d’abord, puis cliquez.

• Brevo, app.brevo.com/settings/keys/api. Sinon, votre nom en haut à droite, puis Paramètres, puis SMTP et API, puis l’onglet des clés API.
• Mailchimp, admin.mailchimp.com/account/api. Sinon, votre nom en haut à droite, puis Compte et facturation, puis le menu Extras, puis Clés API. Il faut y être Admin ou Manager, un compte Standard ne peut pas créer de clé.
• HubSpot, Paramètres, puis Intégrations, puis Applications privées. HubSpot a retiré les clés API classiques en 2022. Vous créez une application privée que vous appelez Metabacklinks, et elle vous délivre un jeton d’accès qui joue exactement le même rôle.
• Sarbacane, Paramètres du compte, puis la rubrique API.
• Zoho et Pipedrive, vos préférences personnelles, puis API. La clé y est souvent déjà créée et il suffit de la copier.

Un détail rassurant chez Mailchimp. Leur clé se termine toujours par un suffixe du genre -us21. Ce n’est pas une erreur de copie, c’est le nom de leur serveur. Copiez la ligne entière, suffixe compris.

Cliquez sur le bouton Créer une clé, Générer une clé API ou Nouvelle clé, selon votre outil.

• Donnez-lui un nom clair, par exemple Metabacklinks. Ce nom ne sert qu’à vous, pour savoir plus tard à quoi elle correspond. Un nom vide, et dans 6 mois vous n’oserez plus rien supprimer.
• Si l’outil demande des autorisations, autorisez la lecture et l’écriture des contacts et des envois. La lecture nous permet de voir vos listes, l’écriture nous permet d’y ajouter un prospect et de programmer une campagne. Sans l’écriture, nous ne pourrions que regarder.
• Laissez de côté tout ce qui touche à la facturation ou aux utilisateurs, si votre outil propose ces cases. Nous n’en avons pas besoin.
• Validez. L’outil affiche alors un long code, c’est votre clé.

Copiez ce code tout de suite, avec le bouton Copier plutôt qu’à la main. Beaucoup d’outils ne l’affichent qu’une seule fois, et une clé mal recopiée ne fonctionne pas.

Si vous fermez la fenêtre trop vite, aucun problème. Vous en créez une autre, et vous supprimez celle que vous n’avez pas notée.

Cette clé ouvre votre fichier client. Traitez-la comme un mot de passe.

Le bon canal. Un gestionnaire de mots de passe avec partage, ou un lien à usage unique qui s’efface après lecture. Nous vous en fournissons un si vous le souhaitez, il suffit de le demander.

Les canaux à éviter. L’e-mail, le message instantané et le document partagé. Ces canaux gardent une copie que personne ne contrôle plus, souvent sauvegardée pendant des années. Et si une clé y a déjà circulé, la réponse est simple et sans drame, on la supprime et on en crée une autre en 2 minutes.

Ce qui suit s’adresse à la personne qui branchera l’outil, pas à vous. Vous pouvez le lire par curiosité, ou passer directement à l’étape suivante.

Une clé ne s’écrit jamais dans le code. Elle vit dans un fichier d’environnement, hors du dépôt.

# .env, a la racine du projet, et JAMAIS versionne.
CRM_API_KEY=sk_live_VotreCleIci

# .gitignore, a verifier avant le premier envoi.
.env
.env.local

Et l’appel, qui lit la variable au lieu de recopier la clé.

curl -s https://api.exemple.fr/v1/contacts \
  -H "Authorization: Bearer $CRM_API_KEY" \
  -H "Accept: application/json"

Le contrôle qui rattrape une fuite passée, si le projet est suivi par un gestionnaire de versions.

git log -p --all -S "sk_live" | head -40

Si la commande trouve quelque chose, la clé a circulé et il faut la remplacer, même si le fichier a été supprimé depuis. L’historique la conserve.

Une fois la clé transmise, vos agents se branchent à votre outil et se mettent au travail. Vous n’avez plus rien à faire.

Ce que vous gardez, et qui ne bougera pas.

• La liste de vos clés reste visible dans vos paramètres, avec le nom de chacune et sa date de création.
• Beaucoup d’outils affichent aussi la date de dernière utilisation, ce qui vous montre en 1 coup d’œil ce qui sert encore.
• Supprimer une clé coupe l’accès instantanément, sans effet sur vos contacts ni sur vos campagnes déjà envoyées.

Le bon réflexe, 1 fois par an. Ouvrez cette liste et supprimez les clés dont vous ne reconnaissez plus le nom. C’est le ménage le plus rentable qui soit, il prend 2 minutes.

Et si vous changez d’outil un jour, prévenez-nous simplement. Une nouvelle clé chez le nouvel outil, et tout repart.