Authentification
Clés d'API, scopes et sécurité
L'API utilise une clé d'API (une par client Marvin), transmise dans chaque requête via le header :
X-Marvin-Public-Key: pk_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxObtenir une clé
La clé est générée par l'administrateur du client Marvin, depuis Configuration → Intégrations, puis transmise à l'intégrateur.
- La clé
pk_live_…ne s'affiche qu'une seule fois à la création — elle doit être copiée immédiatement. - Un administrateur peut générer et révoquer autant de clés que nécessaire.
Portée (scopes)
Une clé est strictement limitée : elle ne donne accès qu'aux endpoints couverts par ses scopes, et uniquement pour l'environnement du client qui l'a émise. Elle ne permet d'accéder à aucune autre donnée ni au reste de l'API.
| Scope | Autorise |
|---|---|
partner:projects:read | GET /v1/partner/projects |
partner:candidates:write | POST /v1/partner/candidates |
public:careers:read | Lecture des offres et de la page carrière (GET /v1/public/careers/…) |
public:careers:apply | Envoi des candidatures depuis votre site (POST /v1/public/careers/{slug}/jobs/{id}/apply et …/{slug}/apply) |
public:contacts:write | Envoi des demandes de contact — entreprises et particuliers (POST /v1/public/crm/{slug}/contact-requests) |
Selon le connecteur, une clé partenaire ouvre aussi la lecture des offres et le
dépôt de candidatures du site carrière : partner:projects:read y vaut
public:careers:read et partner:candidates:write vaut public:careers:apply. La
provenance des candidatures est alors fixée par la clé, et la clé ne s'envoie qu'en
header. Voir Offres et candidatures.
Erreurs d'authentification
| Statut | Cas |
|---|---|
401 | Clé absente, malformée, inconnue ou révoquée |
403 | Scope requis manquant |
429 | Débit dépassé (limité par clé) |
Ne committez jamais une clé pk_live_… dans un dépôt public et ne l'exposez pas côté navigateur.
Une clé doit rester côté serveur.