Ouvrir l'API et les webhooks
01En une phrase #sec_13e9f74d
L'API REVIEWIT permet à vos outils SIEM, BI, ITSM ou IGA de consommer directement campagnes, décisions et piste d'audit ; les webhooks poussent les événements vers eux — chaque client avec ses propres identifiants, chaque webhook avec son propre secret.
02Où #sec_1398f612
Paramètres , onglet Intégrations & IA : Clients API et Webhooks . Les deux écrans partagent une capacité d'édition : si votre souscription n'est pas dans une édition qui l'inclut, l'écran le dit — L'accès API est inclus avec l'édition … — et propose Comparer les éditions ou de contacter votre interlocuteur.
03Avant d'ouvrir #sec_c6be4ab0
Un client API est un compte technique avec un périmètre. Les trois questions à poser avant de le créer sont celles qu'on pose à un compte de service :
- Quel outil ? Un client par outil, nommé d'après lui. Jamais un client « générique »
partagé entre trois équipes.
- Lire ou écrire ? *Chaque client reçoit ses propres credentials et ses propres scopes de
lecture ou d'écriture.* Un outil de reporting n'écrit rien.
- Secret ou certificat ? OAuth2 client credentials — secret ou certificat, au choix. Le
certificat évite d'avoir un secret à faire circuler.
04Créer un client API #sec_ef367d47
Nouveau client API. Un nom, le mode d'authentification, les scopes, une expiration. À la création, le secret s'affiche une seule fois ; Copier le met au presse-papiers. Il ne sera plus visible ensuite : rangez-le dans le coffre de l'outil qui l'utilise avant de fermer le panneau.
La liste porte ensuite chaque client : nom, auth ( Secret ou Certificat ), statut, dernière utilisation , créé le, expiration . Deux colonnes à relire régulièrement : un client jamais utilisé est un accès ouvert pour rien ; un client proche de l'expiration va casser une intégration un matin.
Trois gestes : Détail , Rotation — Rotation du secret : l'ancien cesse de valoir — et Révoquer .
La documentation complète de l'API — authentification, pagination, limites de débit, et chaque point d'appel — est au chapitre Référence d'API de ce portail.
05Créer un webhook #sec_1542805b
Les webhooks poussent les événements de campagne, de décision et de suppression vers vos outils ITSM, SIEM ou d'automatisation — charges utiles signées HMAC.
Nouveau webhook : une URL de réception, les événements à recevoir — campagne lancée ou terminée, accès révoqué, challenge ouvert, suppression demandée — et un secret de signature, affiché une fois lui aussi. Votre récepteur vérifie la signature de chaque livraison avec ce secret ; une livraison non signée ou mal signée ne vient pas de REVIEWIT.
La liste montre pour chaque webhook ses événements, son statut, dernier succès et dernier échec . Livraisons ouvre l'historique, livraison par livraison.
06Quand un webhook meurt #sec_59b75620
Un récepteur qui ne répond plus finit par être coupé : 20 livraisons dead-letterées consécutives — l'endpoint semble mort. Le webhook passe Auto-désactivé . Rien n'est perdu côté REVIEWIT, mais rien n'est livré non plus.
Le geste de reprise est écrit sur l'écran : faites une rotation du secret pour réactiver après réparation. La rotation est franche : le secret actuel cesse de vérifier immédiatement — pas de chevauchement. Réparez le récepteur d'abord, puis tournez le secret, puis mettez le nouveau secret dans le récepteur.
07Supprimer #sec_d839318b
Supprimer un webhook le place dans Éléments supprimés : son URL et ses événements pourront être rétablis jusqu'au … — son secret, non. Un webhook rétabli repart avec un secret neuf.
08L'hygiène #sec_8913bb12
| Quand | Quoi |
|---|---|
| À la création | Le secret dans le coffre de l'outil, puis fermer le panneau |
| Chaque trimestre | Dernière utilisation et Expiration des clients ; Dernier échec des webhooks |
| Au départ d'une intégration | Révoquer le client, Supprimer le webhook — pas « désactiver et oublier » |
| Après un incident côté récepteur | Rotation du secret du webhook |
09Ce que cette page ne couvre pas #sec_3424cfd8
La diffusion continue de la piste d'audit vers un SIEM n'est ni un client API ni un webhook : c'est BEACON, avec ses garanties propres d'ordre et de preuve. C'est la page suivante.
10À retenir #sec_4cc007e0
Un client par outil, un secret vu une fois, des scopes au plus juste. Un webhook signé, surveillé par ses deux dates, réactivé par rotation. Et tout ce qui ne sert plus se révoque — un accès technique se recertifie comme les autres.