mym Authentification pour mym API
Un modèle d'authentification conçu pour une API pour mym.
Le modèle de sécurité derrière mym API : autorisation contrôlée par le créateur, jetons chiffrés et accès à portée limitée, pour qu'aucune équipe ne voie plus que le nécessaire.
mym API ne demande ni ne stocke jamais de mot de passe mym, et n'utilise ni scraping ni automatisation de session navigateur.
Que comprend le modèle d'authentification ?
Connexion contrôlée par le créateur, clés à portée limitée et journal d'audit complet. mym API ne demande ni ne stocke jamais de mot de passe mym.
Autorisation contrôlée par le créateur
Chaque connexion est initiée et approuvée par le créateur, qui décide de ce qu'un espace de travail peut consulter.
Jetons chiffrés
Les jetons de connexion sont chiffrés au repos et en transit, jamais exposés en clair après leur création.
Clés d'API à portée limitée
Les clés sont limitées à un projet, un créateur et un ensemble de ressources, réduisant l'impact d'une clé compromise.
Rotation et révocation des clés
Les clés peuvent être tournées selon un calendrier ou révoquées instantanément depuis une seule vue de l'espace de travail.
Permissions d'équipe
Des rôles pour les équipes d'agence, pour que managers, équipes et développeurs n'accèdent qu'aux données requises par leur rôle.
Journaux d'audit
Chaque changement d'autorisation, événement de clé et modification de permission est enregistré avec un acteur et un horodatage.
Contrôles multi-comptes
Un espace de travail regroupe plusieurs créateurs connectés, chacun avec des portées et une révocation indépendantes.
Masquage des secrets
Les clés et jetons sont masqués dans l'interface après leur création, affichés en entier une seule fois.
Vérification de signature des webhooks
Chaque payload de webhook porte une signature permettant à votre endpoint de vérifier sa provenance depuis mym API.
mym API ne demande ni ne stocke jamais de mot de passe mym, et n'utilise ni scraping ni automatisation de session navigateur.
Comment vérifier un webhook signé ?
Vérification de signature sur trois clients courants, avec le secret partagé de votre espace de travail.
# Envoyez une livraison de test vers votre endpoint
curl -X POST https://your-app.example.com/webhooks/mym-api \
-H "X-MymApi-Signature: t=1738656000,v1=5f9c2b..." \
-d @payload.jsonVérifiez l'en-tête de signature avant de faire confiance au payload.
À quoi ressemble une requête de webhook signée ?
Chaque livraison inclut un en-tête de signature que votre endpoint peut vérifier avec un secret partagé avant de faire confiance au payload.
POST /your-endpoint HTTP/1.1
Content-Type: application/json
X-MymApi-Signature: t=1738656000,v1=5f9c2b...
{
"event": "subscription.created",
"creator_id": "cr_1042",
"fan_id": "fan_88213"
}Comment fonctionnent l'accès équipe et les contrôles multi-comptes ?
Les agences gèrent plusieurs créateurs et plusieurs rôles. Le modèle sépare les deux par portée.
Portées par créateur
Un membre d'équipe peut recevoir un accès à des créateurs spécifiques, et non à tout le roster par défaut.
Permissions par rôle
Des rôles lecture seule, opérateur et administrateur définissent ce que chaque membre peut voir ou modifier.
Clés indépendantes de la session
Les clés d'API ne dépendent pas d'une session de navigateur connectée, pour que l'automatisation continue malgré les changements d'équipe.
Questions fréquentes
- Le modèle repose sur une autorisation contrôlée par le créateur, des jetons chiffrés et des clés d'API à portée limitée avec rotation et révocation.
- La connexion est pensée pour fonctionner aux côtés de la sécurité déjà en place sur le compte du créateur, y compris l'authentification à deux facteurs, sans que mym API ne demande ou ne stocke jamais un mot de passe.
- Une clé peut être limitée à plusieurs créateurs au sein du même espace de travail, mais les données de chaque créateur restent séparées par portée et par journal d'audit.
- La méthode de connexion est contrôlée par le créateur et sans identifiants : mym API ne demande jamais de mot de passe ni de session de connexion mym.
- Chaque livraison de webhook inclut un en-tête de signature, pour que votre endpoint puisse confirmer sa provenance depuis mym API avant de le traiter.
- Une clé compromise peut être révoquée instantanément depuis l'espace de travail, coupant immédiatement l'accès, avec la révocation enregistrée dans le journal d'audit.
Développez sur mym dès aujourd'hui
Demandez un accès anticipé à mym API et dites-nous ce que vous souhaitez créer pour vos créateurs.