Passer au contenu principal
L’API Qwoty authentifie chaque requête grâce à un token d’API envoyé comme Bearer token. Un token appartient à un seul workspace et est rattaché à un seul rôle.

​
Créer un token

1

Ouvrir Tokens d’API

Dans qwoty.app, allez dans Paramètres › Développeur › Tokens d’API. Vous devez disposer d’un rôle avec le droit Développeurs.
2

Créer le token

Cliquez sur Créer un Token API, saisissez un Nom du Token (par exemple « Synchro ERP ») et sélectionnez un Rôle, puis cliquez sur Créer le Token.
3

Copier le token

Cliquez sur Copier le Token et stockez-le dans un gestionnaire de secrets ou une variable d’environnement.
Le token ne s’affiche qu’une seule fois. Si vous le perdez, supprimez-le et créez-en un nouveau.
Consultez Tokens d’API pour le guide complet dans l’application.

​
Envoyer le token

Ajoutez le token dans l’en-tête Authorization de chaque requête :
Tous les endpoints se trouvent sous l’URL de base https://qwoty.app/api. Dans cette documentation, chaque page d’endpoint comporte un playground : saisissez votre token dans son champ d’autorisation pour envoyer des requêtes de test. Les requêtes envoyées depuis le playground utilisent les données réelles de votre workspace.

​
Format du token

  • Les tokens de production commencent par qwt_prod_ suivi de 64 caractères hexadécimaux (73 caractères au total).
  • Les exemples de cette documentation utilisent qwt_prod_xxxxxxxxxxxxxxxx comme valeur fictive.
  • Dans Paramètres › Développeur › Tokens d’API, un token n’est affiché que par ses 12 premiers caractères (par exemple qwt_prod_e75...), avec son rôle et sa date de Dernière utilisation.

​
Portée, rôle et durée de vie

  • Workspace : un token ne lit et n’écrit que les données du workspace dans lequel il a été créé. Pour travailler avec plusieurs workspaces, créez un token par workspace.
  • Rôle : le token dispose des droits du rôle sélectionné à sa création. Certains endpoints d’écriture vérifient ces droits et renvoient 403 s’ils sont absents. Consultez Permissions.
  • Durée de vie : les tokens n’expirent pas. Un token reste valide jusqu’à ce que vous le supprimiez, ou jusqu’à la suppression de son rôle.
  • Révocation : supprimez le token dans Paramètres › Développeur › Tokens d’API. Les requêtes qui l’utilisent sont aussitôt rejetées.

​
Erreurs d’authentification

Consultez Gestion des erreurs pour tous les formats d’erreur.

​
Bonnes pratiques de sécurité

Stockez les tokens dans des variables d’environnement ou un gestionnaire de secrets. Ne les commitez jamais dans un gestionnaire de versions, ne les placez jamais dans du code côté client (navigateur, application mobile) et ne les collez jamais dans un ticket ou une conversation.
Créez un token distinct pour chaque intégration et chaque environnement, avec un nom explicite. Vous pourrez ainsi en révoquer un sans casser les autres, et la colonne Dernière utilisation vous indique quels tokens sont encore utilisés.
Rattachez chaque token à un rôle qui ne dispose que des droits nécessaires à l’intégration.
Comme les tokens n’expirent pas, renouvelez-les régulièrement : créez un nouveau token, déployez-le, puis supprimez l’ancien. Supprimez immédiatement un token s’il a pu fuiter.

​
Besoin d’aide ?

Contactez support@qwoty.io pour toute question sur l’authentification.
Dernière modification le 27 octobre 2026