Les API de takotak (articles, newsletter, ventes) et le serveur MCP s'ouvrent avec une clé d'API. Une clé vise un seul site et ne porte que les droits que vous lui avez donnés : une intégration (votre site sur Vercel, un logiciel de caisse, n8n) reçoit l'accès dont elle a besoin, et rien de plus.

Où se gèrent les clés

Toutes les clés de vos sites sont au même endroit : votre espace client, Compte › Espace développeur. On y voit, pour chaque clé, son nom, son site, son début (tkk_1a2b…), ses droits, qui l'a créée et quand elle a servi pour la dernière fois.

  • Créer une clé : donnez-lui un nom qui dit à quoi elle sert (« Site Next.js », « Caisse »), choisissez le site, cochez les droits. La clé entière s'affiche une seule fois : copiez-la aussitôt, takotak n'en garde qu'une empreinte et ne pourra plus vous la montrer.
  • Modifier : son nom et ses droits. Le changement vaut dès l'appel suivant, sans changer la clé chez vous.
  • Révoquer : la clé cesse de marcher tout de suite.

Un site peut avoir plusieurs clés, une par intégration : révoquer celle d'un outil ne coupe pas les autres. Les réglages des articles, de la newsletter et de Mes ventes affichent les clés qui ont accès à leur API et renvoient vers l'Espace développeur, avec le site et le droit déjà choisis.

Gardez une clé côté serveur (variable d'environnement, wp-config.php), jamais dans une page publique : chaque appel l'envoie dans l'en-tête Authorization: Bearer <clé>.

Les droits

Cochez seulement ce dont l'outil a besoin : une clé qui fuit n'ouvre que ses droits. Un droit qui dépend d'une option que le site n'a pas est grisé.

API du site

Droit Libellé Ce qu'il ouvre Option du site
articles.read Lire les articles Lire les articles validés et leurs images (API des articles). Articles et posts
mailing.read Lire les contacts de la newsletter Lire les contacts, les listes, les imports et l'expéditeur de la newsletter (requêtes GET). Newsletter
mailing.write Modifier les contacts de la newsletter Inscrire, modifier, désinscrire ou importer des contacts, régler l'expéditeur (toutes les autres requêtes). Newsletter
sales.write Envoyer les ventes Déposer les ventes et les remboursements du site (API des ventes). Aucune

Serveur MCP

Ce sont les droits des agents IA (voir Connecter un agent IA) : une clé qui en porte un ouvre le serveur MCP sans OAuth, sur son seul site (voir plus bas).

Droit Libellé Ce qu'il ouvre Option du site
actions.read Lire les actions (MCP) Les actions de « Mes actions », les problèmes de Santé du site et la journée en cours. Aucune
actions.write Modifier les actions (MCP) Passer une action en fait, ignorer une recommandation, noter une action faite. Aucune
newsletter.read Lire les lettres (MCP) Les lettres, les listes et les formats de la newsletter. Newsletter
newsletter.write Préparer des lettres (MCP) Créer, écrire et illustrer une lettre, la faire rédiger par takotak, envoyer un test. Jamais l'envoi aux abonnés. Newsletter
ads.read Lire les objectifs publicitaires (MCP) La marge, la valeur d'une conversion, la cible, le budget maximum et le seuil de rentabilité. Publicité en ligne
ads.write Régler les objectifs publicitaires (MCP) Changer ces objectifs : la dernière analyse des annonces est recalculée. Publicité en ligne

Les refus

Réponse Cas
401 Clé absente, fausse ou révoquée. La réponse ne dit pas laquelle de ces raisons.
403 Clé valable, mais sans le droit que demande l'appel.
429 Trop d'appels en peu de temps : attendez un peu, puis réessayez.

Le 403 nomme le droit manquant, dans le message et dans le champ missing_scope :

{
  "error": "Cette clé n'a pas le droit « Lire les articles » (articles.read) : ajoutez-le à la clé dans l'Espace développeur de takotak.",
  "missing_scope": "articles.read"
}

Ajoutez le droit à la clé par Modifier : l'appel suivant passe, sans changer la clé dans votre code.

Le serveur MCP avec une clé

Un outil qui ne sait pas se connecter par OAuth (n8n, un script, un agent maison) peut appeler le serveur MCP avec une clé qui porte au moins un droit MCP :

POST https://app.takotak.ai/api/mcp
Authorization: Bearer tkk_…
Content-Type: application/json
Accept: application/json, text/event-stream
  • La clé ne voit que son site : list_sites ne rend que lui, et tout autre domaine est refusé, même s'il appartient au même compte.
  • Elle ne voit que les outils de ses droits : les autres n'apparaissent pas dans tools/list, et un appel forcé est refusé avec le droit manquant.
  • Ce qu'elle fait porte son nom dans le journal de « Mes actions » (« clé « n8n » »).
  • Une clé sans aucun droit MCP reçoit 403 (insufficient_scope). Une clé fausse reçoit le 401 habituel du serveur, celui qui lance la connexion OAuth d'un agent.

Les outils, leurs paramètres et leurs réponses sont décrits dans Outils du serveur MCP.

Les clés d'avant

Les clés créées avant l'Espace développeur, une par module (tkr_… pour les articles, tkm_… pour la newsletter, tks_… pour les ventes), marchent toujours, sans rien changer chez vous. Elles apparaissent dans l'Espace développeur sous le nom « Clé des articles », « Clé de la newsletter » ou « Clé des ventes », avec le droit de leur module, et se modifient ou se révoquent comme les autres. Les clés nouvelles commencent par tkk_, quels que soient leurs droits.