FlexiProject propose une API REST grâce à laquelle un autre système peut lire et modifier les données de l’organisation — alimenter un rapport BI, synchroniser des projets avec un ERP ou automatiser une tâche répétitive. La description complète des points de terminaison se trouve sur developers.flexi-project.com.

Pour appeler l’API, il vous faut un jeton d’accès personnel (jeton API). Vous le créez vous-même dans votre profil, dans l’onglet API, et il agit avec vos permissions : l’API montre exactement les données que vous voyez dans l’application, et rien de plus.

Jeton d'accès personnel

Qui peut créer un jeton

Un jeton est créé, pour son propre compte, par un utilisateur disposant d’une licence Complète (voir Licences d’utilisation) et par un administrateur système ; l’onglet API n’est visible que pour eux. Aucune permission d’administrateur n’est requise. Le jeton porte les permissions de son propriétaire : il donne accès aux mêmes projets et aux mêmes champs que ceux que le propriétaire voit dans l’application. Deux personnes ayant des rôles différents obtiennent des résultats différents pour la même requête.

Un jeton cesse de fonctionner lorsque le compte est désactivé, retiré de l’organisation ou verrouillé ; il n’est donc pas nécessaire de nettoyer les jetons lorsqu’une personne quitte l’organisation.

Créer un jeton

1. Ouvrez le menu de l’avatar, choisissez Profil de l’utilisateur et passez à l’onglet API (voir Profil de l’utilisateur).
2. Cliquez sur Nouveau jeton.
3. Saisissez un Nom — jusqu’à 100 caractères. Le nom doit indiquer à quelle intégration le jeton sert, car c’est le seul moyen de distinguer vos jetons par la suite.
4. Définissez la Date d’expiration. La date la plus proche est demain, la plus lointaine dans 365 jours à compter d’aujourd’hui ; le champ s’ouvre sur 30 jours. Le jeton expire à la fin du jour choisi.
5. Cliquez sur Créer le jeton.

Copiez le jeton tout de suite

La fenêtre Le jeton d’accès personnel a été créé affiche la valeur complète une seule fois, accompagnée d’un avertissement : Copiez le jeton et conservez-le en lieu sûr — après la fermeture de cette fenêtre, il ne sera plus possible de le consulter. Le bouton Copier copie la valeur dans le presse-papiers, et vous la collez directement dans le système qui l’utilisera. Une fois la fenêtre fermée, personne ne peut retrouver la valeur — ni vous, ni un administrateur, ni le support. Si vous perdez un jeton, supprimez-le et créez-en un nouveau.

Liste des jetons

L’onglet API répertorie vos jetons dans les colonnes Nom, Jeton, Créé le et Expire le. La colonne Jeton n’affiche que les premiers caractères de la valeur — de quoi associer un jeton à celui enregistré dans une intégration.

La colonne Expire le prévient à l’avance : un jeton qui expire dans les sept prochains jours porte une étiquette indiquant le nombre de jours restants, celui qui expire aujourd’hui affiche expire aujourd’hui, et un jeton expiré affiche expiré. Un jeton expiré reste dans la liste jusqu’à sa suppression, mais il n’authentifie plus rien.

Vous pouvez avoir jusqu’à dix jetons actifs en même temps. Une fois la limite atteinte, l’application refuse d’en créer un autre et affiche le message Vous avez déjà 10 jetons d’accès personnels actifs. Supprimez un jeton inutilisé pour en créer un nouveau. Les jetons expirés ne comptent pas dans la limite.

Supprimer un jeton

L’icône de corbeille dans la ligne d’un jeton le supprime après confirmation. L’application avertit que les intégrations qui l’utilisent cesseront de fonctionner immédiatement — et c’est bien ce qui se produit, dès leur requête suivante. La suppression est irréversible ; remplacer un jeton signifie toujours créer un nouveau jeton avec une nouvelle valeur.

Utiliser un jeton

Le jeton API n’est pas envoyé avec chaque requête. Vous l’échangez une fois contre un jeton d’accès et vous utilisez ensuite ce jeton d’accès.

Envoyez une requête POST à /api/user/token/personal avec votre adresse e-mail et la valeur du jeton :

POST /api/user/token/personal
Content-Type: application/json

{ "email": "anna.kowalska@example.com", "token": "fpat_…" }

La réponse contient le access_token, son type, l’identifiant de l’organisation à laquelle appartient le jeton et la durée de validité en secondes. Envoyez le jeton d’accès dans l’en-tête Authorization des appels suivants et répétez l’échange à son expiration.

L’adresse e-mail doit appartenir au compte qui a créé le jeton, et c’est le jeton lui-même qui détermine l’organisation dans laquelle vous entrez — si vous travaillez dans plusieurs organisations, créez un jeton distinct dans chacune.

Les tentatives infructueuses répétées sont limitées : après dix échecs pour la même adresse e-mail, les tentatives suivantes sont rejetées pendant quinze minutes. Si une intégration se met soudain à essuyer des refus en masse, vérifiez la valeur enregistrée au lieu de réessayer en boucle.

L’échange d’un jeton API fonctionne aussi lorsque la connexion par mot de passe est désactivée, car ce n’est pas une personne qui se connecte (voir Méthodes de connexion).