API REST automatique et webhooks

03Comment ça marche

Comment ça marche étape par étape.

1. 1

   Fonctionnement de l’API automatique

   L’API ne comporte aucun code spécifique à une entité. Un jeu unique de routes génériques dessert toutes les entités connues du système. Lorsqu’un administrateur ajoute une entité, un champ ou une relation — ou lors du déploiement d’un nouveau module — l’API, la validation et la documentation existent immédiatement, circonscrites à cette entreprise et aux autorisations de l’appelant.

   Lire en détail

   Trois vérifications déterminent si une entité est accessible : l’indicateur API sur l’entité, le module activé pour l’entreprise et les autorisations de l’appelant, y compris la politique de la clé API. Une entité masquée renvoie « introuvable » sans même révéler son existence. Le coffre-fort de mots de passe et les préférences utilisateur ne sont pas accessibles via l’API. Une session de navigateur connectée et un jeton passé en en-tête fonctionnent selon les mêmes règles et la même journalisation d’audit que l’application.

2. 2

   Ce que permet l’API

   Chaque entité prend en charge le listage, la récupération du détail, la création, la mise à jour complète ou partielle et la suppression logique (soft delete). Les mises à jour partielles gèrent le verrouillage optimiste par version d’enregistrement, empêchant deux modifications simultanées de s’écraser mutuellement. Vous pouvez également interroger la description de l’entité (champs, relations, actions), récupérer une liste d’identifiants pour un jeu filtré (jusqu’à 500) et exporter des enregistrements (jusqu’à 1 000).

   Lire en détail

   En masse, vous pouvez créer jusqu’à 100 enregistrements, en mettre à jour jusqu’à 500 et en supprimer jusqu’à 100 ; un lot combinant créations, mises à jour et suppressions s’exécute au sein d’une seule transaction. Les agrégations renvoient des sommes, des moyennes et d’autres indicateurs ou comptages regroupés par champ. L’API gère aussi les relations (attacher, détacher, synchroniser), les panneaux d’enregistrements liés, l’historique des modifications, les journaux d’audit, les pièces jointes, les actions unitaires ou sur sélection, les conversions d’enregistrements avec aperçu, les listes de valeurs et la recherche globale.

   Les statuts gérés ne peuvent être modifiés que par le biais d’actions.

3. 3

   Requêtes et filtres

   Les filtres peuvent s’écrire de plusieurs façons : notation par crochets, groupes OR, arborescence imbriquée, expressions abrégées telles que amount>=10000, JSON ou filtre enregistré. La recherche plein texte, le tri, la pagination (20 par défaut, jusqu’à 200 enregistrements par page), la sélection de champs et le chargement anticipé (eager loading) des enregistrements liés sont tous pris en charge.

   Lire en détail

   Les opérateurs couvrent les comparaisons, « contient », « commence par », les plages, les valeurs vides, la sélection à valeurs multiples, les plages de dates prédéfinies comme ce mois-ci ou les 30 derniers jours, ainsi que les liens vers l’utilisateur courant ou son équipe. L’API rejette les champs inconnus, les champs sans droit de lecture ou les opérateurs non autorisés, de sorte que les filtres ne peuvent pas servir à sonder des données que l’appelant n’a pas le droit de voir.

4. 4

   Documentation, authentification et limites de débit

   La spécification OpenAPI 3.1.2 est générée à l’exécution à partir des métadonnées et selon le point de vue de l’appelant : les entités et opérations qu’il n’est pas autorisé à utiliser sont omises. Les administrateurs peuvent la parcourir dans le panneau d’administration grâce à la visionneuse Scalar. La validation et la documentation partagent les mêmes définitions : elles ne divergent donc jamais sur les routes couvertes.

   Lire en détail

   Vous obtenez un jeton en vous connectant (y compris avec un code de second facteur s’il est activé) ou en signant avec une clé SSH pour les agents en ligne de commande. Les utilisateurs gèrent leurs clés API et leurs jetons MCP dans leur profil. La limite de débit est de 240 requêtes par minute par entreprise et par utilisateur ; après 10 tentatives de jeton échouées par minute, l’adresse IP est restreinte. Chaque appel authentifié par jeton est consigné dans le journal d’accès.

5. 5

   Webhooks

   Un webhook sortant est une action au sein d’un flux d’automatisation. Il se déclenche lorsqu’un enregistrement est modifié ou supprimé, selon une planification, manuellement ou lors d’un événement métier. Il envoie une requête POST, PUT ou PATCH avec des en-têtes personnalisés et un modèle de corps (body template). L’URL cible est vérifiée par une protection anti-SSRF, les redirections sont désactivées et le délai d’expiration est de 30 secondes. Les requêtes ne sont pas signées ; les appels échoués sont journalisés et relancés uniquement pour les flux atomiques ou les actions configurées pour s’arrêter en cas d’erreur.

   Lire en détail

   Un webhook entrant reçoit des données sur un point de terminaison dédié, protégé par un secret partagé dans l’en-tête. Il est traité par un gestionnaire enregistré par le module, par exemple pour capturer des prospects CRM, des enregistrements d’appels ou des événements push Mattermost. Chaque appel est journalisé avec son résultat.