Identifiants et jetons
Choisissez, stockez, renouvelez et dépannez tous les identifiants utilisés par Make Agent Fast.
Choisissez, stockez, renouvelez et dépannez tous les identifiants utilisés par Make Agent Fast.
Make Agent Fast utilise plusieurs types d'identifiants. Ils ne sont pas interchangeables. Avant de copier une valeur, identifiez quel système l'a émise, quel système la reçoit et si elle peut être exposée sans risque dans un navigateur.
Cartographie des identifiants#
| Identifiant | Créé dans | Utilisé par | Secret ? | Format ou valeur type |
|---|---|---|---|---|
| Slug du site publié | Tableau de bord du site | Chargeur d'intégration du site web | Non | my-agent |
| Clé API Make Agent Fast | Paramètres → Développeur | Votre backend ou votre automatisation | Oui | maf_live_... |
| ID client OAuth | Paramètres → Développeur | Application multi-comptes | Non | maf_app_... |
| Jeton d'accès OAuth | Point de terminaison de jeton OAuth | Le backend de votre application | Oui | Jeton Bearer, durée de vie d'une heure |
| Jeton d'actualisation OAuth | Point de terminaison de jeton OAuth | Votre stockage sécurisé de jetons | Oui | maf_refresh_..., renouvelé à chaque utilisation |
| Clé API de fournisseur d'IA (facultative, Scale) | OpenRouter (texte) ou Speko (voix) | Backend de Make Agent Fast | Oui | sk-or-... ou sk_speko_... |
| Jeton de connecteur ou secret d'application | Telegram, Meta, Discord ou Kakao | Service de connecteurs de Make Agent Fast | Oui | Propre à chaque fournisseur |
| Secret de signature de webhook | Création du point de terminaison webhook de l'API publique | Votre récepteur de webhook | Oui | whsec_... |
Choisir la bonne méthode d'autorisation#
Utilisez une clé API Make Agent Fast pour un serveur que vous contrôlez et un seul compte Make Agent Fast. Choisissez uniquement les portées dont ce serveur a besoin.
Utilisez OAuth Authorization Code avec PKCE lorsque votre produit connecte des comptes appartenant à d'autres utilisateurs de Make Agent Fast. Les applications OAuth doivent être examinées avant que l'autorisation en production n'aboutisse.
Utilisez une clé de fournisseur d'IA uniquement si vous souhaitez que Make Agent Fast appelle ce fournisseur d'IA avec votre compte fournisseur. Une clé de fournisseur n'autorise pas l'accès à l'API publique de Make Agent Fast.
Utilisez les identifiants de connecteur uniquement dans le formulaire de connecteur correspondant ou dans la requête d'API de connecteur correspondante. Un jeton de bot Telegram ne peut pas autoriser Discord, Meta ni les requêtes de l'API Make Agent Fast.
Stocker les secrets en toute sécurité#
En développement local, placez les secrets dans un fichier d'environnement ignoré par Git ou dans l'environnement de votre shell :
export MAF_API_KEY="maf_live_..."Pour le déploiement, utilisez le gestionnaire de secrets chiffré de votre hébergeur. Ne placez pas de secrets dans :
- Les commits Git, les descriptions de tickets, les captures d'écran, les propriétés d'analytique ou les messages d'assistance.
- Les variables
NEXT_PUBLIC_*,VITE_*ou toute autre variable intégrée au JavaScript du navigateur. - Webflow, Framer, Wix, le Liquid de Shopify, le HTML de WordPress ou un bundle web mobile.
- Les chaînes de requête. Les URL sont souvent conservées dans l'historique du navigateur, les proxys et les journaux.
Effectuez les appels d'API depuis votre backend authentifié. Le navigateur doit appeler votre backend, et c'est votre backend qui doit joindre le secret.
const response = await fetch("https://makeagent.fast/api/v1/sites", {
headers: { Authorization: `Bearer ${process.env.MAF_API_KEY}` },
});Règles pour les secrets affichés une seule fois#
Les clés API, les secrets de signature de webhook et les jetons d'actualisation OAuth nouvellement émis doivent être copiés au moment où ils s'affichent. La valeur complète en clair ne peut pas être récupérée par la suite. En cas de perte, créez un remplacement au lieu de demander au support de la révéler.
Les identifiants de fournisseur d'IA et de connecteur sont chiffrés avant d'être stockés et ne sont pas renvoyés par les API de liste. Le tableau de bord peut afficher un libellé, un préfixe, les quatre derniers caractères, un état de validation ou la date de dernière utilisation afin que vous puissiez identifier un identifiant sans l'exposer.
Liste de contrôle pour le renouvellement#
- Créez le remplacement avec les mêmes portées minimales ou les mêmes autorisations de fournisseur.
- Mettez à jour un déploiement ou un récepteur à la fois.
- Vérifiez qu'une requête réelle aboutit et notez son
x-request-id. - Révoquez l'ancien identifiant.
- Vérifiez que les anciennes requêtes échouent avec
401 invalid_api_keyou l'erreur équivalente du fournisseur.
Pour OAuth, enregistrez le nouveau jeton d'actualisation renvoyé par chaque réponse d'actualisation avant de supprimer le précédent. Pour le renouvellement d'un secret de webhook, faites fonctionner l'ancien et le nouveau point de terminaison en parallèle jusqu'à ce que tous les producteurs et récepteurs utilisent le remplaçant.
En cas d'exposition d'un secret#
Révoquez-le ou renouvelez-le immédiatement. Le supprimer du dernier commit Git ne suffit pas, car il peut subsister dans l'historique, les caches, les journaux ou les forks. Examinez l'activité chez Make Agent Fast et chez le fournisseur émetteur, puis remplacez tout identifiant qui partageait le même emplacement de stockage ou le même environnement de déploiement.
Poursuivez avec Authentification, Portées et erreurs ou Clés de fournisseur d'IA.