Clés, portées et environnements

Les clés appartiennent à des projets, fonctionnent dans un seul environnement et ne peuvent faire que ce que leurs portées permettent. Les propriétaires, administrateurs et développeurs les gèrent dans le tableau de bord ; les lecteurs peuvent les consulter.

Test et production

Comparaison des environnements de test et de production
	Test	Production
Préfixe de la clé	`sk_test_`	`sk_live_`
Certificat de signature	Notre chaîne de test	Notre chaîne de production
Quota mensuel	Un quota distinct : 100 marquages avec l’offre Free, autant qu’en production avec les offres payantes	Celui de votre offre
À utiliser pour	Développement, CI, essai d’options	Les fichiers que vous publiez

Les deux environnements exécutent le même code et les mêmes vérifications. Les fichiers marqués avec une clé de test sont réellement marqués, mais signés avec la chaîne de test : un vérificateur les distingue donc.

Portées

N’accordez à chaque clé que les portées dont elle a besoin. Les portées des endpoints encore à venir peuvent déjà être attribuées.

Portées des clés
Portée	Autorise	Disponible
`mark`	POST /v1/mark : marquer des fichiers dans le cloud	Dès maintenant
`tsa`	POST /v1/tsa/{key} : horodatages pour le mode local. Seule portée de sa clé : c’est le seul type de clé accepté dans une URL	Dès maintenant
`sign`	POST /v1/sign : la signature du mode local, pour le SDK et les nœuds ComfyUI	Dès maintenant
`check`	POST /v1/check : le contrôle de sécurité d’une image. L’option `check` de POST /v1/mark ne demande que `mark`	Dès maintenant
`verify`	Rien pour l’instant : POST /v1/verify et ses résultats signés ne demandent aucune clé	Réservée

GET /v1/usage fonctionne avec n’importe quelle clé valide.

Projets

Les projets regroupent des clés, par exemple par application ou par client. Le projet Default existe dans chaque organisation dès sa création. Supprimer un projet révoque aussitôt ses clés ; son historique d’utilisation est conservé.

Listes d’IP autorisées

Une clé peut être limitée à des plages IPv4 et IPv6 en notation CIDR, comme 203.0.113.0/24 ou 2001:db8::/32. Une adresse seule équivaut à un /32 ou à un /128. Jusqu’à 100 plages par clé ; une liste vide autorise toutes les adresses. Les requêtes venant d’ailleurs reçoivent 403 ip_not_allowed.

Nous vérifions l’adresse depuis laquelle votre requête atteint notre point d’entrée : derrière un NAT ou un proxy, il s’agit de son adresse publique de sortie.
Une adresse IPv4 qui arrive sous forme IPv6 (::ffff:192.0.2.1) correspond aux plages IPv4.
Les plages sont enregistrées sous forme canonique : les bits d’hôte sont mis à zéro, 10.1.2.3/8 devient donc 10.0.0.0/8.
Chaque modification de la liste d’IP autorisées d’une clé est consignée dans le journal d’audit, avec la liste avant et après.

Création et révocation

Créer des clés nécessite une adresse e-mail confirmée.
La clé ne s’affiche qu’une fois, à sa création. Nous n’en conservons que l’empreinte SHA-256, les premiers caractères et les quatre derniers.
Le tableau de bord indique quand chaque clé a été utilisée pour la dernière fois (information mise à jour au plus une fois par minute).
La révocation est immédiate et irréversible.

Vous avez perdu une clé ? Révoquez-la et créez-en une nouvelle. Personne, pas même nous, ne peut retrouver une clé à partir de ce que nous conservons.