Premiers pas
Authentification et autorisations
Chaque appel porte une clé API. Une clé accède à un seul espace de travail, fait ce que ses autorisations permettent, et peut expirer.
Envoyer la clé
Envoyez la clé comme jeton Bearer. Les outils qui ne savent remplir qu’un en-tête nommé peuvent utiliser X-Api-Key à la place ; c’est la même clé.
GET /api/v1/events HTTP/1.1
Host: attendbeacon.com
Authorization: Bearer abk_k7m2qx9vtw4p_...Une clé se compose de abk_, de douze caractères, d’un trait de soulignement et d’un secret de 43 caractères. Les douze caractères forment son préfixe : l’espace de travail les affiche pour distinguer les clés, et l’activité des clés désigne les clés par ce préfixe. Les scanners de secrets reconnaissent le marqueur abk_ : une clé poussée par erreur dans un dépôt est donc facile à repérer.
Seul HTTPS reçoit une réponse. Il n’y a ni cookies ni sessions : chaque requête est indépendante.
Ce à quoi une clé accède
Une clé appartient à un seul espace de travail et n’accède à rien d’autre. Un événement, un participant ou un webhook d’un autre espace de travail répond 404, exactement comme s’il n’existait pas : une clé ne peut donc jamais découvrir ce que possède un autre organisateur.
L’espace de travail de démonstration n’a pas de clés à lui. Créez votre propre espace de travail pour essayer les écritures ; les lectures de Beacon Summit dans cette documentation portent sur les vraies données de la démonstration.
Autorisations
Une autorisation associe un domaine et un accès : events:read, attendees:write. Donnez à une clé les autorisations dont son logiciel a besoin, et rien de plus : une clé qui fuit ne livre alors rien de plus.
- L’écriture inclut la lecture dans le même domaine : une clé avec
program:writepeut aussi lire les sessions. people:readest une autorisation à part. Sans elle, les personnes ne sont que des identifiants : un participant a un billet, un statut et une heure d’arrivée, mais ni nom, ni adresse, ni entreprise, ni réponses, etpersonalDatavautwithheld. Les comptages, les ventes et le programme n’ont besoin d’aucune personne.- Un appel qui exige une autorisation absente de la clé répond
403avec"code": "missingScope", et"scope"indique ce qui manque. Les autorisations se choisissent à la création de la clé ; pour d’autres autorisations, créez une nouvelle clé.
| Autorisation | Permet |
|---|---|
events:read | Events: the list, details, statistics, registration questions and doors. |
events:write | Create draft events, change their basics and publish or unpublish them. |
tickets:read | Ticket types, add-ons and discount codes, with what is sold. |
tickets:write | Change a ticket type's capacity and sales window, and create discount codes. |
orders:read | Orders and their money, and the sales pace. |
attendees:read | Registrations and attendees: ticket, status and check-in; names and answers need people:read too. |
attendees:write | Register people with a free ticket and cancel tickets, as the workspace does. |
checkins:read | Door scans and check-in counts. |
checkins:write | Check attendees in at a door, by the scanner's rules. |
program:read | Sessions, rooms, tracks and speakers. |
program:write | Add and change sessions on the agenda. |
sponsors:read | Sponsors, exhibitors, their levels and consented leads. |
cfp:read | Call-for-speakers submissions and their status. |
crew:read | Crew, volunteers, roles and shifts. |
surveys:read | Surveys, session ratings and their results, never who answered. |
finance:read | Invoices, credit notes and the budget summary. |
sharekit:read | The share kit's leaderboard of speakers, sponsors and attendees who spread the word. |
communities:read | Communities and their members. |
webhooks:read | Webhook endpoints, their deliveries, the event types and subscriptions for automation platforms. |
webhooks:write | Add, change, test and remove webhook endpoints. |
people:read | Personal data in any of the above: names, email addresses, companies and answers. Without it, people are ids only. |
L’espace de travail propose quatre points de départ : Tableau de bord (événements, billets, commandes, entrées et programme, en lecture seule), Power Automate ou Zapier (ce qu’utilisent le connecteur et l’application Zapier), Assistant IA (tout en lecture, personnes comprises) et Tout.
Clés créées avant octobre 2026
Les clés antérieures aux autorisations par domaine avaient read et write. Elles ont été réécrites selon ce que ces valeurs signifiaient, et fonctionnent exactement comme avant : read est devenu toutes les lectures qui existaient alors (personnes comprises), write est devenu attendees:write et checkins:write. Aucune clé n’a gagné de nouveau pouvoir.
Expiration et révocation
Une clé peut expirer après 30, 90, 180 ou 365 jours, ou jamais. Une clé expirée répond 401 avec "code": "keyExpired" ; créez la nouvelle clé avant l’échéance de l’ancienne et remplacez-la : rien ne s’arrête.
Révoquer une clé dans l’espace de travail l’arrête immédiatement (keyRevoked). Les flux Power Automate et les Zaps qu’elle avait abonnés sont désabonnés avec elle, puisqu’ils ne pourraient plus se désabonner eux-mêmes.
L’activité des clés
Intégrations › API & MCP › Activité des clés liste chaque appel effectué par une clé via l’API ou le serveur MCP au cours des 90 derniers jours : quand, quelle opération (la route, comme GET /events/{eventId}/attendees, ou l’outil MCP), quelle réponse, combien de temps et depuis quelle adresse. Jamais de chaîne de requête, de corps ni de réponse : l’adresse d’un participant saisie dans une recherche n’a pas sa place dans un journal. Les appels refusés y figurent aussi, avec leur code : quand un flux s’arrête, c’est le premier endroit où chercher missingScope ou rateLimited.
Les modifications faites avec une clé apparaissent aussi dans le journal d’activité de l’espace de travail, au nom de la clé : « API key abk_k7m2qx9vtw4p (Attendee sync for the CRM) ».
Protéger les clés
- Une clé par logiciel, nommée d’après lui, pour pouvoir en révoquer une sans arrêter les autres.
- Gardez les clés dans un coffre à secrets (Key Vault, les secrets de votre CI, un gestionnaire de mots de passe), jamais dans le code ni dans un dépôt.
- N’envoyez jamais une clé à un navigateur. Le bouton Essayer de cette documentation est l’exception que vous faites vous-même : la clé reste dans la mémoire de cette page et ne part que vers attendbeacon.com.
- Donnez aux clés une date d’expiration, et révoquez celles que la liste d’activité montre inutilisées.