Authentification

Chaque requête porte votre clé dans l’en-tête x-api-key. Gardez-la côté serveur : ne l’intégrez jamais dans une appli mobile ou une page web.

x-api-key: VOTRE_CLE

Clés de test et de production

Préfixe	Usage	Envoie de vrais SMS
sk_test_	Développement, intégration continue	Non, tout est simulé
uk_	Production, après validation du compte	Oui, débite vos crédits

La clé de test ne donne accès qu’aux endpoints de messages, et seulement aux messages du sandbox. Elle ne permet ni de gérer le compte, ni de lire vos vrais messages.

Régénérer une clé

Clé	Requête
Production	DELETE /v1/users/{id}/api-keys
Test	DELETE /v1/users/{id}/test-api-keys

L’ancienne clé cesse de fonctionner immédiatement. Une requête sans clé valide reçoit 401 Unauthorized.

Connexion au tableau de bord

Le mode google connecte les personnes directement avec Google OAuth/OpenID Connect. Les comptes et sessions GetSMS sont conservés dans PostgreSQL. Firebase Cloud Messaging reste réservé aux notifications des téléphones ; Firebase Authentication n’est pas requis.

Les routes navigateur GET /v1/auth/google, GET /v1/auth/google/callback, GET /v1/auth/session et POST /v1/auth/logout utilisent une session HttpOnly. Elles ne remplacent pas les clés API des intégrations SMS et ne sont pas exposées par MCP. Les mutations avec une session navigateur exigent l’origine autorisée du tableau de bord.