L'API REST de Zenovay est documentée sur docs.zenovay.com. Chaque requête s'authentifie avec un jeton Bearer (une « clé API ») que vous générez dans le tableau de bord.
Info
L'API REST est une fonctionnalité payante. Elle est disponible sur les plans Pro, Scale et Enterprise. Sur le plan gratuit, vous ne pouvez pas créer ou utiliser de clés API. Passez à une version supérieure depuis Paramètres → Facturation pour la déverrouiller.
Comment les clés API sont organisées
Les clés Zenovay sont personnelles : chaque clé est créée par vous et agit en votre nom, sur les équipes (espaces de travail) auxquelles vous choisissez de lui donner accès. Vous les gérez dans votre compte, et elles sont révoquées automatiquement lorsque vous perdez l'accès à une équipe.
Lorsque vous créez une clé, vous décidez deux choses :
- Les autorisations qu'elle a — accès complet, ou n'importe quelle combinaison de lecture, écriture et administration.
- Les équipes qu'elle peut atteindre — toutes les équipes auxquelles vous appartenez, ou un sous-ensemble spécifique.
Les propriétaires et administrateurs de l'espace de travail peuvent décider qui peut créer des clés qui atteignent l'espace de travail (tous les membres, propriétaires et administrateurs uniquement, ou personne). Cette gouvernance se trouve sur la page de l'API de l'espace de travail sur Paramètres → Sécurité et accès → Clés API.
Générer une clé API
Ouvrez vos paramètres de sécurité du compte
Dans
app.zenovay.com, allez à Paramètres → Compte → Sécurité et accès, puis trouvez la carte Clés API.Créez une nouvelle clé
Cliquez sur Créer une clé API et donnez-lui un nom qui décrit l'intégration (ex.
Alertes Slack,Export de données interne). Les noms peuvent contenir jusqu'à 64 caractères.Choisir les autorisations
- Accès complet — lecture et écriture sur tout ce que la clé peut atteindre.
- Sélectionner — choisissez n'importe quelle combinaison de Lecture (points de terminaison GET analytics), Écriture (POST/PATCH/DELETE) et Admin (points de terminaison réservés aux administrateurs). Ceux-ci sont indépendants : une clé en lecture seule, un récepteur de webhook en écriture seule et une clé d'automation réservée aux administrateurs sont tous valides.
La portée Admin ne peut cibler que les équipes dont vous êtes propriétaire ou administrateur.
Choisir l'accès à l'équipe
- Toutes les équipes — la clé fonctionne sur toutes les équipes auxquelles vous appartenez actuellement.
- Sélectionner les équipes — verrouillez la clé à des équipes spécifiques. Idéal pour limiter une clé à un seul espace de travail.
Copier la clé une seule fois
La clé commence par
zv_et n'est affichée qu'une seule fois au moment de la création. Copiez-la immédiatement dans votre gestionnaire de secrets. Nous ne stockons qu'un hash — nous ne pouvons pas récupérer une clé perdue.
Requête hello-world
Chaque appel d'API envoie la clé en tant que jeton Bearer dans l'en-tête Authorization.
curl https://api.zenovay.com/api/external/v1/websites \
-H "Authorization: Bearer zv_your_actual_key_here"
Une réponse réussie retourne en JSON les sites auxquels la clé a accès. Si la clé est invalide ou révoquée, vous obtiendrez 401 Unauthorized. Si votre plan n'inclut pas l'accès à l'API, vous obtiendrez 403.
Limites de débit
Les demandes d'API sont limitées par plan :
| Plan | Demandes par minute |
|---|---|
| Free | Pas d'accès API |
| Pro | 30 |
| Scale | 60 |
| Enterprise | 120 |
Les réponses incluent les en-têtes X-RateLimit-Limit et X-RateLimit-Remaining, afin que vous puissiez les lire et vous arrêter lorsque vous approchez de la limite. Voir Limites de débit API pour plus de détails.
Révoquer des clés
- Révoquer — ouvrez la clé sous Paramètres → Compte → Sécurité et accès, puis choisissez Révoquer. La clé cesse de fonctionner immédiatement.
- Modifier — vous pouvez renommer une clé ou ajuster ses autorisations et son accès à l'équipe depuis le même endroit.
- Audit — chaque clé affiche quand elle a été créée. Si vous ne reconnaissez pas une clé ou n'utilisez plus l'intégration derrière elle, révoquez-la.
Pour faire tourner une clé, créez-en une nouvelle, déployez-la, puis révoquez l'ancienne.
Serveur MCP
Zenovay parle aussi le Model Context Protocol, afin que vous puissiez connecter Claude Desktop, Cursor ou n'importe quel client MCP directement à votre analytique. MCP est disponible sur tous les plans (Free, Pro, Scale et Enterprise), avec des limites de requêtes quotidiennes par plan. Il n'utilise pas de clé API REST — au lieu de cela, vous pointez votre client vers https://api.zenovay.com/mcp et l'autorisez une fois via OAuth (aucune clé à copier). Vous pouvez consulter et révoquer les clients MCP connectés sous Paramètres → Compte → Sécurité et accès. Voir la documentation MCP sur le site développeur pour la configuration complète et la liste des outils.
Bonnes pratiques
- Ne committez jamais une clé dans un repo public. Stockez les clés dans un gestionnaire de secrets, pas dans le contrôle des sources.
- Une clé par intégration. Si un fournisseur est compromis, vous ne révoquez que sa clé.
- Utilisez les autorisations les plus étroites dont l'intégration a besoin. Préférez la lecture seule à moins qu'elle ne doive écrire.
- Limitez par équipe pour les intégrés qui ne touchent qu'un seul espace de travail, afin qu'une clé divulguée ne puisse pas atteindre le reste.