Dépannage : authentification et clés API
Chaque requête Orbit passe par les contrôles des identifiants, de l’expiration et de la révocation, du mode sandbox/live, de la liste IP, puis des permissions. Lisezcode : plusieurs contrôles peuvent partager le même statut HTTP.
Erreurs 401
PourUNAUTHORIZED, vérifiez l’en-tête X-API-Key et envoyez la clé complète. INVALID_API_KEY signale une clé inconnue, révoquée ou bloquée par sa liste IP. Recopiez-la depuis Settings → API Keys ou créez-en une nouvelle. EXPIRED_TOKEN signifie que l’expiration ou revoke_at est passée : faites tourner la clé.
Sandbox et live
Une clédv_test_sk_ s’utilise en sandbox et une clé dv_live_sk_ en live. Une combinaison incorrecte renvoie 403 WRONG_KEY_MODE avant l’exécution du handler. Créez la clé dans l’organisation appelée.
Listes IP
Une IP refusée par la clé renvoie volontairement401 INVALID_API_KEY. La liste de l’organisation renvoie 403 IP_NOT_ALLOWED. Vérifiez l’IP publique de sortie visible par Orbit, puis ajoutez-la ou ajoutez son bloc CIDR dans la configuration de sécurité.
Clés publiques et SAML/SCIM
Les clés publiques sont en lecture seule. Utilisez une clé secrète sur votre backend pour les écritures commemessages:write. Avec SAML, l’utilisateur doit appartenir à l’organisation ; SCIM ne peut pas dépasser la limite de rôle configurée.
Ne transmettez jamais le secret au support. Fournissez le code, le request_id et le préfixe de la clé uniquement.