Clés API

Une clé API permet à un script, à un notebook ou à un client MCP d’accéder à vos chiffres sans passer par une session de navigateur. Les clés se créent une par une depuis Réglages → Accès (/reglages/acces), chacune avec sa propre liste de droits.

L’onglet se divise en deux parties qui vont en sens inverse, et les secrets qu’elles contiennent ne sont pas de même nature. Ce qui atteint Badlen, ce sont les clés que vous distribuez. Ce que Badlen atteint, c’est la clé de fournisseur que Badlen présente à un service extérieur : une clé Moralis, qui permet de trouver les jetons ERC-20 d’une adresse Ethereum suivie, comme l’explique D’où viennent les données. Aucune clé API ne peut lire cette seconde partie.

Créer une clé

Ouvrez Réglages → Accès et appuyez sur Nouvelle clé.
Donnez-lui le nom de l’outil qui va l’utiliser. Plus tard, c’est ce nom seul qui vous permettra de savoir quelle clé révoquer : « Notebook analyse » vaut mieux que « clé 2 ».
Cochez ses droits. Ils se répartissent en deux groupes : sept en lecture et deux en écriture.
Choisissez une date d’expiration, ou laissez le champ vide pour une clé qui n’expire jamais. Une date déjà passée est refusée.
Appuyez sur Créer la clé.

Les neuf droits

Chaque droit donne accès à un ensemble fixe de routes, et à rien d’autre. Le détail des requêtes et des réponses de chaque route se trouve dans la référence de l’API REST, qui recense les treize routes accessibles avec une clé et la portée exigée par chacune.

Un droit limite aussi le contenu des réponses. Un chiffre qui relève d’un autre droit n’est renvoyé qu’aux clés qui possèdent ce droit. Une clé qui n’a accès qu’aux cartes de succès reçoit uniquement les cartes dont les chiffres relèvent de ce droit, sans le patrimoine net ni les libellés de vos plus grosses dépenses ; et le compte d’une opération ou d’une ligne détenue n’est indiqué qu’avec accounts:read.

Droit	Ce qu’il permet de lire ou de faire
`accounts:read`	Les comptes, avec leur valeur, leur plus-value et leur classe d’actifs
`dashboard:read`	Le patrimoine net et sa répartition
`insights:read`	Les cartes de succès et leurs statistiques
`transactions:read`	Les opérations récentes
`prices:read`	Le dernier cours connu de chaque actif
`positions:read`	Les lignes par titre, avec les plus-values latentes et réalisées
`analytics:read`	Les séries de valeur, la dérive, le drawdown, les jalons, et les mesures qui en découlent
`transactions:write`	L’import d’un envoi d’opérations dans un compte, et sa simulation
`accounts:write`	La création d’un compte, la saisie d’un solde, l’ajout d’une ligne

Aucun de ces droits ne permet de supprimer, et c’est voulu : une clé qui fuite ne peut qu’ajouter des données, et un ajout reste visible. Cela ne veut pas dire que rien ne peut être écrasé : un solde remplace celui déjà saisi pour le même jour, et ajouter une ligne renseigne les frais courants du fonds, que toutes les lignes de ce fonds reprennent ensuite.

Gérer ses clés

Une clé qui appelle une route non couverte par ses droits reçoit une erreur 403 : s’il lui manque une case, elle fonctionne partout sauf à l’endroit précis où elle manque. La liste des clés affiche, pour chacune, ses onze premiers caractères, ses droits, sa date de dernière utilisation et sa date d’expiration. De quoi distinguer une clé encore utilisée d’une clé que plus personne n’appelle.

Révoquer prend effet immédiatement et ne peut pas être annulé. Dès cet instant, la clé révoquée reçoit une erreur 401 sur toutes les routes.

Dans la démo en ligne, la carte est verrouillée : une clé créée là n’ouvrirait qu’une API qui vit dans l’onglet de votre navigateur, et nulle part ailleurs.