Vous les trouvez dans le tableau de bord OneSignal sous Settings > Keys & IDs (niveau application) ou Organizations > Votre organisation > Keys & IDs (niveau organisation).
L’Organization ID (Org ID) est un UUID (v4) qui regroupe toutes les applications sous votre plan de facturation.Vous en avez besoin pour les API au niveau de l’organisation, telles que :
Il existe deux types de clés API. Toutes deux authentifient les requêtes à l’API REST et doivent être gardées secrètes. Choisissez celle qui correspond à ce que vous voulez faire :
Utilisez une clé API d’application pour toute requête API REST limitée à une seule application : envoi de messages ; création ou mise à jour d’utilisateurs ; ou lecture de l’historique des messages.Le tableau de bord n’affiche jamais les valeurs des clés API existantes. La chaîne dans la colonne Key ID est seulement un identifiant interne, ce n’est pas la clé. Pour obtenir à nouveau un secret fonctionnel, suivez les étapes ci-dessous pour créer une nouvelle clé API, ou faites pivoter une clé existante. La rotation génère une nouvelle valeur tout en conservant le même Key ID, le même nom et la même liste d’autorisation IP, et l’ancienne valeur cesse de fonctionner immédiatement.
Le tableau de bord affiche le Key ID, et non la valeur de la clé API. La valeur réelle (commençant par os_v2_app_) n'est affichée qu'une seule fois, lors de la création ou de la rotation de la clé.
Créer une clé API d’applicationSuivez ces étapes pour créer une clé API d’application dans le tableau de bord, ou utilisez l’API Create API key.
1
Allez dans Settings > Keys & IDs de l'application
Dans le tableau de bord OneSignal, sélectionnez votre application et accédez à Settings > Keys & IDs.
2
Cliquez sur Add Key
Saisissez un nom descriptif (par exemple, Backend service). Vous pouvez éventuellement ajouter une liste d’autorisation IP afin que la clé ne fonctionne qu’à partir de serveurs approuvés.
3
Cliquez sur Create, puis copiez immédiatement la valeur de la clé
La valeur commence par os_v2_app_ et n’est affichée qu’une seule fois. Stockez-la immédiatement dans un gestionnaire de secrets ou une variable d’environnement du backend.
Valeur de la clé API générée, affichée une seule fois
Traitez les clés API d’application comme des mots de passe :
Ne les exposez jamais dans le code client mobile ou web.
Ne les committez jamais dans des dépôts publics (comme GitHub).
Stockez-les dans un backend sécurisé ou un gestionnaire de secrets.
Créer une clé API d’organisation :Les clés API d’organisation se créent uniquement dans le tableau de bord. Il n’y a pas d’endpoint API pour les créer.
1
Allez dans Keys & IDs de l'organisation
Dans le tableau de bord OneSignal, accédez à Organizations > Votre organisation > Keys & IDs.
2
Cliquez sur Add Key et nommez-la
Saisissez un nom descriptif (par exemple, App provisioning). Vous pouvez éventuellement ajouter une liste d’autorisation IP.
3
Cliquez sur Create, puis copiez immédiatement la valeur de la clé
La valeur commence par os_v2_app_ et n’est affichée qu’une seule fois. Stockez-la immédiatement en toute sécurité.
Page Keys & IDs de l'organisation où les clés API d'organisation sont créées
Les clés API d’organisation donnent accès à toutes les applications de votre organisation. Traitez-les avec un soin particulier et ne les partagez qu’avec des services qui ont véritablement besoin d’un accès à l’échelle de l’organisation.
La liste d’autorisation IP est facultative, mais fortement recommandée. Elle limite l’utilisation de la clé API à des adresses IP spécifiques, de sorte qu’une clé divulguée ne puisse pas être utilisée ailleurs.
Saisissez des blocs CIDR séparés par des espaces (exemple : 192.0.2.0/24 192.0.2.123/32).
Les requêtes provenant d’adresses IP non autorisées sont refusées.
Utilisez la liste d’autorisation IP pour :
Les services backend avec des IP statiques.
Les environnements de production haute sécurité.
Création d'une clé API avec la liste d'autorisation IP activée
Après avoir créé une clé, vous pouvez la modifier, la faire pivoter ou la supprimer depuis la liste des clés dans Settings > Keys & IDs. Les clés API d’application prennent également en charge ces opérations via l’API REST. Les clés API d’organisation se gèrent uniquement dans le tableau de bord.
Mettez à jour le nom ou la liste d’autorisation IP sans changer la valeur secrète. Aucun changement d’intégration n’est requis.Utilisez le tableau de bord, ou l’API Update API key (clés API d’application uniquement).
La rotation génère un nouveau secret tout en conservant le même Key ID, le même nom et la même liste d’autorisation IP. L’ancien secret cesse de fonctionner immédiatement.Faites pivoter une clé lorsque :
La clé a été exposée.
Un membre de l’équipe ayant accès quitte l’organisation.
Une rotation de sécurité de routine arrive à échéance.
Vous avez perdu la valeur d’origine de la clé et avez besoin d’un secret fonctionnel.
Après avoir fait pivoter une clé, mettez à jour tous les services qui utilisaient l’ancienne valeur. Les requêtes avec l’ancienne clé échouent immédiatement.
Utilisez le tableau de bord, ou l’API Rotate API key (clés API d’application uniquement).
La suppression supprime définitivement la clé et bloque immédiatement l’accès à l’API utilisant cette clé. Utilisez la suppression lorsqu’une clé n’est plus nécessaire.Utilisez le tableau de bord, ou l’API Delete API key (clés API d’application uniquement).
OneSignal a introduit les clés API d’application et d’organisation (avec nommage, rotation et liste d’autorisation IP) en novembre 2024. La clé User Auth héritée et la clé REST API d’origine sont toujours acceptées, mais l’interface de gestion les concernant a été supprimée et de nouvelles clés ne peuvent plus être créées.
Pour révoquer immédiatement une clé, faites-la pivoter ou supprimez-la dans Settings > Keys & IDs. Les requêtes utilisant l’ancienne valeur échouent immédiatement.Pour arrêter l’envoi de messages ou suspendre une application entièrement, consultez Applications et organisations désactivées.
Les valeurs des clés API commencent par os_v2_app_ et ne sont affichées qu’une seule fois, immédiatement après la création ou la rotation de la clé. La colonne Key ID dans le tableau de bord est un identifiant interne, pas la clé API, et renvoie 401 Unauthorized si elle est utilisée pour l’authentification. Si vous n’avez pas enregistré la valeur de votre clé, faites pivoter la clé pour en générer une nouvelle. Consultez Clé API d’application ou Clé API d’organisation pour le flux complet.
Puis-je récupérer une clé API d’application héritée ?
Non. OneSignal n’affiche plus les clés API d’application héritées. Si vous ne trouvez pas la valeur dans votre code, générez une nouvelle clé API d’application et mettez à jour vos intégrations.
Faites pivoter la clé immédiatement. La rotation invalide l’ancienne valeur et en émet une nouvelle tout en conservant le même Key ID, le même nom et la même liste d’autorisation IP. Mettez ensuite à jour tous les services qui utilisent la clé. Consultez vos journaux d’audit pour détecter toute activité API inattendue.
