Le 10 novembre 2026 à 00:22 (UTC+8), APIYI a publié une mise à jour : la période de grâce reste en vigueur jusqu’au 31 décembre 2027 à 23:59 (UTC+8). Vous pouvez désormais vous connecter à la console et associer directement une Passkey et la 2FA, sans attendre 72 heures. La désactivation des anciens jetons système était seulement prévue pour le 11 novembre 2026 (UTC+8). La plateforme précise qu’elle décidera d’une éventuelle prolongation en fonction de l’utilisation. Au 10 novembre 2026, aucune nouvelle annonce ne confirme une « désactivation effective » ou une « prolongation ».
Avant de commencer, distinguez bien les trois types d’identifiants pour éviter toute erreur dans les étapes suivantes. Pour vous connecter au site, utilisez un mot de passe, une Passkey et la 2FA. Pour invoquer un modèle, utilisez une clé de modèle commençant par sk-. Pour que vos scripts consultent le solde et les journaux ou gèrent vos clés, utilisez un jeton d’accès personnel commençant par nap_. Ces trois identifiants ne sont pas interchangeables. En suivant l’ordre des pages de l’espace personnel, cet article vous guide pour les configurer un par un.
Points essentiels sur les Passkeys, la 2FA et les jetons d’APIYI
Le tableau ci-dessous est la base de tout l’article. Si vous rencontrez un problème par la suite, revenez-y pour vérifier quelle catégorie d’identifiant vous avez entre les mains.
| Identifiant | À quoi il ressemble | Ce qu’il permet de faire | Ce qu’il ne permet pas de faire | Où le gérer |
|---|---|---|---|---|
| Authentification de connexion (mot de passe, Passkey, 2FA, GitHub) | Empreinte digitale, reconnaissance faciale, code de déverrouillage ou code temporaire à 6 chiffres | Sécuriser la connexion à la console et confirmer à nouveau votre identité avant des opérations sensibles, comme un export | Appeler des modèles ou accéder aux API de gestion | Centre personnel |
| Clé API | Commence par sk- |
Appeler des modèles comme OpenAI, Claude et Gemini | Sécuriser la connexion : même avec la 2FA, une clé divulguée peut être utilisée | Page des jetons |
| Jeton d’accès personnel | Commence par nap_ |
Permettre à un script de consulter le solde et les journaux, et de gérer les clés API | Appeler des modèles, modifier le mot de passe ou changer la validation en deux étapes | Centre personnel → Options du compte |
Le centre personnel est accessible à l’adresse https://api.apiyi.com/account/profile. Vous pouvez aussi y accéder en cliquant sur « Centre personnel », en haut à droite du site ou dans la navigation latérale. Toutes les opérations de liaison et de création décrites ci-dessous commencent sur cette page.
Le message vous demande toujours d’attendre 72 heures ? Comment comprendre la situation actuelle concernant les Passkeys et la 2FA d’APIYI
La règle des 72 heures n’a pas été supprimée : son application est simplement suspendue pendant la période de tolérance. Voici les règles officielles, les notifications de la plateforme, la procédure qui s’en dégage et les points que la documentation ne précise pas, présentés séparément pour éviter de confondre hypothèses et conclusions.
| Type d’information | Contenu |
|---|---|
| Règle officielle initiale | Un compte qui se connecte uniquement avec un mot de passe doit rester stable pendant 72 heures dans la même session et le même environnement de connexion avant de pouvoir ajouter un premier moyen de vérification. Un changement de réseau relance l’attente. |
| Notification de la plateforme (10-04) | Du jour de l’annonce jusqu’au 2027-12-31 à 23:59 (UTC+8), une période de tolérance s’applique : vous pouvez ajouter un moyen de vérification dès votre connexion. Les connexions à haut risque restent toutefois bloquées selon la règle initiale. |
| Notification de la plateforme (11-10) | Après le changement de serveurs du 6 novembre, la politique de tolérance n’a temporairement pas été appliquée dans le nouvel environnement. Elle a depuis été rétablie. |
| À la fin de la période de tolérance | La règle initiale sera rétablie. Dans un nouvel environnement, les comptes qui se connectent uniquement avec un mot de passe devront toujours rester stables pendant 72 heures avant d’ajouter un moyen de vérification. Les moyens déjà ajoutés ne seront pas affectés. |
| Ce que la documentation ne précise pas | La documentation ne précise pas comment les connexions à haut risque seront bloquées après la fin de la période de tolérance, ni si une notification ultérieure sera publiée. |
Si le message « attente requise » s’est affiché après le 6 novembre, c’est à cause du changement de serveurs, et non d’un problème avec votre compte. Actualisez la page pour réessayer. La période de tolérance dure encore plus d’un an, mais mieux vaut ajouter un moyen de vérification dès maintenant : après la fin de 2027, vous ne serez pas bloqué par l’attente de 72 heures lors d’une connexion depuis un nouvel environnement.
🎯 Conseil pratique : l’ajout se fait lorsque vous êtes déjà connecté et ne fait qu’ajouter un moyen de vérification. Il n’a aucun effet sur votre solde, vos clés API de modèle ni votre historique d’appels. Les appels APIYI ne sont pas interrompus pendant l’opération.
Dans quel ordre configurer le Passkey et la 2FA sur APIYI ?
L’ordre recommandé est de configurer d’abord le Passkey, puis la 2FA comme solution de secours. Si vous inversez l’ordre, vous risquez de vous retrouver bloqué. Nous en parlons dans la section suivante.
Première étape : configurer le Passkey sur APIYI
Ouvrez votre espace personnel, faites défiler la page jusqu’à « Options du compte », puis cliquez sur Configurer un Passkey. Une fenêtre système s’ouvre et vous demande où enregistrer le Passkey pour apiyi.com. Vérifiez d’abord que le domaine affiché est bien celui-ci. Si ce n’est pas le cas, ne poursuivez pas.
Après avoir choisi l’emplacement d’enregistrement, confirmez avec votre empreinte digitale, votre visage ou le code de déverrouillage de l’écran. Une fois la configuration terminée, le bouton devient Supprimer le Passkey et la date de dernière utilisation s’affiche à côté. Lors de votre prochaine visite sur la page de connexion, vous pourrez choisir de vous connecter avec votre Passkey.
L’emplacement choisi détermine si cette clé pourra vous suivre lorsque vous changerez d’appareil. Le tableau ci-dessous vous aidera à faire votre choix :
| Emplacement de sauvegarde | Scénario adapté | Synchronisation |
|---|---|---|
| Trousseau iCloud | Mac, iPhone, iPad | Synchronisation entre vos appareils Apple |
| Gestionnaire de mots de passe Google | Chrome et Android | Synchronisation entre appareils |
| Téléphone, tablette ou clé de sécurité | Connexion temporaire sur l’ordinateur de quelqu’un d’autre : scannez le code QR sur l’ordinateur, puis validez sur votre téléphone | La clé est enregistrée sur le téléphone ou la clé de sécurité |
| Profil du navigateur sur cet appareil | Utilisation sur cet appareil uniquement | Aucune synchronisation ; la clé sera perdue si vous changez d’ordinateur ou réinstallez le système |
Quelques précisions sur les Passkeys : ils reposent sur WebAuthn / FIDO2. La clé privée reste sur l’appareil ou dans le gestionnaire de mots de passe ; le serveur ne stocke que la clé publique, qui ne permet pas de retrouver la clé privée. L’empreinte digitale et la reconnaissance faciale sont vérifiées localement et ne sont pas envoyées. Le Passkey ne permet pas de créer un nouveau compte et ne remplace pas votre mot de passe : après sa configuration, la connexion par mot de passe et celle via GitHub restent disponibles. Enfin, évitez de configurer un Passkey sur un ordinateur public.
Deuxième étape : configurer la 2FA et conserver les codes de secours
Toujours dans votre espace personnel, repérez la section 2FA vers le bas de la page. Scannez le code QR avec Google Authenticator, Microsoft Authenticator ou une autre application compatible avec TOTP, puis saisissez le code à 6 chiffres généré par l’application, qui est renouvelé toutes les 30 secondes.
Une fois la configuration terminée, la page vous affiche des codes de secours : veillez à les enregistrer. Si vous changez de téléphone, perdez votre appareil ou supprimez l’application d’authentification par erreur, ces codes vous permettront de vous reconnecter. Ne vous contentez pas d’en faire une capture d’écran sur le téléphone où se trouve l’application : enregistrez-les dans le gestionnaire de mots de passe d’un autre appareil ou notez-les sur papier et rangez-les en lieu sûr.
Après la configuration, certaines opérations sensibles — comme la connexion au site, la création d’une clé API ou l’exportation de données — peuvent nécessiter un code 2FA ou une vérification par Passkey. C’est une vérification de sécurité normale, pas une erreur.
Que faire si vous n’arrivez pas à associer une Passkey ou la 2FA sur APIYI et que le message « Échec de l’enregistrement de l’état de vérification » s’affiche ?
Blocage n° 1 : la page indique toujours que vous devez patienter
La période de grâce est accordée en fonction de la session de connexion. Certaines sessions ouvertes auparavant ont déclenché une demande de nouvelle vérification et ne sont pas autorisées automatiquement. Réessayer plusieurs fois dans la même session ne fera que répéter le message vous demandant d’attendre. Procédez dans cet ordre :
- Actualisez la page, puis réessayez.
- Si le message vous demande toujours d’attendre, déconnectez-vous, puis reconnectez-vous pour créer une nouvelle session.
- Attendez environ une minute, le temps que le système autorise la connexion, puis actualisez la page des paramètres du compte et réessayez d’associer votre Passkey.
- Si le problème persiste, utilisez la dernière version de Chrome, Edge ou Safari et vérifiez que votre appareil est protégé par un mot de passe de verrouillage ou la biométrie.
Par ailleurs, certains navigateurs intégrés aux applications ne prennent pas en charge WebAuthn. Il se peut donc que rien ne s’affiche lorsque vous appuyez sur « Associer une Passkey ». Dans ce cas, utilisez le navigateur de votre appareil.
Blocage n° 2 : après avoir associé la 2FA, le message « Échec de l’enregistrement de l’état de vérification » s’affiche quand vous associez une Passkey
Après l’association de la 2FA, le système demande une nouvelle vérification de votre session en cours. Si vous essayez alors d’associer une Passkey, le message « Échec de l’enregistrement de l’état de vérification » s’affiche. Pour résoudre le problème, déconnectez-vous, puis reconnectez-vous avec votre mot de passe et le code dynamique de la 2FA. Retournez ensuite en bas de votre espace personnel et appuyez sur « Associer une Passkey ».
Si vous avez créé votre compte en utilisant l’inscription en un clic de GitHub, connectez-vous avec GitHub : vous n’avez pas besoin de définir de mot de passe séparément. Quel que soit le type de compte, il est conseillé de conserver une méthode de connexion de secours, comme un mot de passe, votre adresse e-mail d’inscription ou GitHub. Ne comptez pas uniquement sur la Passkey d’un seul appareil.
💡 Astuce : associer une Passkey revient à modifier votre méthode de vérification. La documentation officielle précise : « Toute modification du mot de passe, de la vérification en deux étapes ou de la clé d’accès révoque l’ensemble des jetons d’accès personnels ». Si vos scripts d’administration commencent à renvoyer une erreur 401 après l’association, retournez dans votre espace personnel pour créer un nouveau jeton d’accès personnel, puis remplacez l’ancien. Les invocations du modèle ne sont pas affectées.
Comment distinguer les clés de modèle, les jetons d’accès personnels et les anciens jetons système d’APIYI
Les clés de modèle (sk-) se gèrent sur la page des jetons, à l’adresse https://api.apiyi.com/token. Elles servent à appeler les modèles et leur nombre est illimité. Les jetons d’accès personnels (nap_) se gèrent dans les options du compte, dans l’espace personnel. Ils servent à appeler les interfaces de gestion, et chaque compte peut en avoir 20 au maximum. Les anciens jetons système sont d’anciens identifiants pour les interfaces de gestion. Ils seront remplacés par les jetons d’accès personnels.
| Critère | Ancien jeton système | Jeton d’accès personnel |
|---|---|---|
| Autorisations | Accès à toutes les autorisations du compte | Sélection au cas par cas ; les autorisations de lecture, d’écriture et de consultation des clés sont indépendantes |
| Nombre | 1 par compte | 20 au maximum |
| Expiration | N’expire pas | 30 jours par défaut ; choix possibles : 90, 180 ou 365 jours, durée personnalisée ou absence d’expiration |
| Liste blanche IP | Non prise en charge | Prise en charge d’IPv4, d’IPv6 et de CIDR ; impossible à modifier après la création |
| Préfixe | Aucun préfixe fixe | nap_ |
| État | Désactivation prévue à partir du 2026-11-11 (UTC+8) | Recommandé actuellement |
Remplacer le jeton de l’ancien système par un jeton d’accès personnel APIYI
- Ouvrez votre espace personnel, puis cliquez sur Jetons d’accès personnels dans les options du compte. Cliquez ensuite sur Créer un jeton, en haut à droite.
- Choisissez un nom qui indique son usage, par exemple « Script de rapprochement » ou « Surveillance du solde ». Il est préférable de définir une échéance assez éloignée, par exemple dans 365 jours.
- Laissez la liste blanche d’adresses IP vide (cela signifie qu’aucune restriction ne s’applique) et cochez uniquement les autorisations dont le script a besoin.
- Après avoir cliqué sur Créer un jeton, copiez-le et enregistrez-le immédiatement. Remplacez ensuite l’ancienne valeur par le nouveau jeton dans les variables d’environnement ou la configuration du script.
Vous n’avez pas besoin de modifier l’adresse de l’API ni le code. L’adresse de base reste https://api.apiyi.com. Dans l’en-tête Authorization, indiquez le jeton lui-même ; le préfixe Bearer est facultatif.
Cochez les autorisations en fonction des API utilisées : en sélectionner trop augmente les risques.
- Consultation du solde
GET /api/user/self: cochez « Profil personnel · Lecture ». - Consultation des journaux
GET /api/log/self: cochez « Utilisation et historique personnel · Lecture ». - Liste ou consultation des clés de modèle : cochez « Clés de modèle · Lecture ». Pour créer, modifier ou supprimer des clés, cochez « Clés de modèle · Écriture ». Pour afficher les clés en clair, cochez « Clés de modèle · Afficher les clés ».
À noter : l’autorisation d’écriture ne donne pas accès à la lecture, et l’autorisation de lecture ne permet pas de voir les clés en clair. Certaines opérations, comme la modification du mot de passe ou de la vérification en deux étapes, restent impossibles avec un jeton, même si l’autorisation d’écriture est activée. Vous devez toujours vous connecter au site pour les effectuer.
Une fois le script testé, créez un nouveau jeton de production avec une liste blanche et ajoutez-y les adresses IP publiques de sortie de vos serveurs de production et de secours. Séparez les adresses par des virgules. Après avoir remplacé le jeton de test par le jeton de production, supprimez le jeton de test sans liste blanche. Utilisez un jeton par script : en cas de fuite, vous n’aurez qu’un seul jeton à supprimer.
🚀 Conseil pour la migration : le plus sûr est de remplacer le jeton dans APIYI avant la date de désactivation prévue, le 2026-11-11. La documentation ne précise pas si la désactivation aura bien lieu ce jour-là ni si un report temporaire sera annoncé ensuite. Ne comptez donc pas sur un report de dernière minute.
Que faire en premier si une clé APIYI fuit ou si un script renvoie une erreur 401
Fuite d’une clé de modèle : désactivez-la, puis vérifiez
Le montant maximal utilisable avec une clé de modèle correspond au solde du compte. En cas de fuite, commencez par supprimer ou désactiver le jeton sur https://api.apiyi.com/token. C’est la seule mesure qui permet de limiter immédiatement les dégâts : elle doit passer avant toute investigation.
Créez ensuite un nouveau jeton. Désactivez le plafond illimité, définissez un montant autorisé et, si nécessaire, cochez « Activer les options avancées » pour configurer une liste blanche d’adresses IP et les modèles autorisés. Mettez enfin à jour la configuration de l’application. Consultez les journaux d’appels pour repérer des modèles inconnus, un volume d’appels inhabituel ou des appels à des heures inattendues. Supprimez aussi les traces de la fuite dans le code, la documentation, les captures d’écran et l’historique des conversations.
Si vous avez déjà utilisé Railway et que vous n’avez pas encore renouvelé votre clé, désactivez d’abord l’ancienne, puis créez-en une nouvelle. Mettez à jour les variables d’environnement et redéployez l’application. Si vous n’avez jamais utilisé Railway, cette notification ne vous oblige pas à renouveler votre clé.
Script en erreur 401 ou 403 : référez-vous au message renvoyé
| Code d’état | Message | Cause | Solution |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
Vous utilisez encore un jeton de l’ancien système, dont la date de désactivation est passée | Créez un jeton d’accès personnel et remplacez l’ancien |
| 401 | This access token may not be used from the current IP address. |
L’adresse IP source ne figure pas dans la liste blanche | La liste blanche ne peut pas être modifiée : créez un nouveau jeton |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
L’autorisation correspondante n’a pas été activée | Créez un nouveau jeton et cochez les autorisations nécessaires |
| 401 | Le message indique seulement que le jeton est invalide | Le jeton a expiré ou a été supprimé, ou le mot de passe, la validation en deux étapes ou la clé d’accès a été modifié | Recréez un jeton depuis votre espace personnel |
Mieux vaut prévenir que réparer après coup. Pour les clés de modèle utilisées lors des tests, désactivez le plafond illimité, fixez un montant compris entre 5 et 50 dollars et définissez une date d’expiration. Utilisez des clés distinctes pour la production et les tests. N’inscrivez jamais une vraie clé dans le code ou dans Git et, dans les captures d’écran partagées, utilisez un placeholder comme sk-your-api-key.
FAQ : questions fréquentes
Q1 : Après avoir associé une Passkey APIYI ou activé la 2FA, peut-on toujours se connecter avec un mot de passe ?
Oui. La deuxième vérification ajoute une couche de sécurité sans remplacer le mot de passe. La connexion avec GitHub reste également disponible. Certaines opérations peuvent demander un code temporaire ou une vérification par Passkey.
Q2 : Que faire si j’ai perdu mes codes de secours 2FA ?
Si vous pouvez encore vous connecter, rendez-vous dans votre espace personnel pour associer à nouveau la 2FA et enregistrer les nouveaux codes de secours. Si vous n’avez plus de code de secours et ne pouvez plus accéder à votre compte, contactez [email protected]. L’équipe pourra vous aider à désactiver la 2FA après vérification de votre identité.
Q3 : Faut-il configurer une liste d’adresses IP autorisées pour un jeton d’accès personnel utilisé depuis un réseau domestique ?
Ce n’est pas recommandé. L’adresse IP de sortie d’une connexion Internet domestique ou d’un réseau professionnel peut changer. Si vous configurez une liste d’adresses autorisées, vous risquez de recevoir soudainement des erreurs 401. Vous pouvez plutôt limiter le jeton à un accès en lecture seule et définir une date d’expiration rapprochée.
Q4 : Peut-on utiliser un jeton d’accès personnel pour appeler des modèles ?
Non. Pour appeler des modèles, continuez d’utiliser une clé de modèle commençant par `sk-` et renseignez `https://api.apiyi.com/v1` comme `base_url`. Les jetons `nap_` servent uniquement aux interfaces de gestion du solde, des journaux et des jetons.
Q5 : Peut-on modifier directement une liste d’adresses IP autorisées mal renseignée pour un jeton d’accès personnel ?
Non. Une fois créée, la liste d’adresses IP autorisées d’un jeton d’accès personnel ne peut pas être modifiée. Vous devez en créer un nouveau, puis supprimer l’ancien. La liste associée aux clés de modèle est un paramètre distinct : vous pouvez la vider temporairement, puis la configurer à nouveau. Ne confondez pas les deux.
Q6 : Ma Passkey sera-t-elle toujours disponible si je change de téléphone ?
Cela dépend de l’endroit où elle est enregistrée. Une Passkey stockée dans le trousseau iCloud ou dans le Gestionnaire de mots de passe Google est synchronisée. En revanche, celle qui est enregistrée uniquement dans le profil du navigateur de l’appareil ne l’est pas. Si vous perdez votre appareil, connectez-vous avec votre mot de passe ou GitHub, dissociez l’ancienne Passkey, puis associez-en une nouvelle sur votre nouvel appareil.
En bref : quatre actions à faire aujourd’hui
- Associer une passkey : dans les options du compte, en bas de la page de profil, choisissez « Associer une passkey ». Privilégiez un emplacement de stockage synchronisé.
- Activer la 2FA et enregistrer les codes de secours ailleurs : ne les conservez pas uniquement sur le téléphone qui héberge l’application d’authentification.
- Désactiver le quota illimité des jetons de test : dans la page des jetons, définissez un plafond bas pour la clé API utilisée pour tester les modèles.
- Remplacer le jeton système des scripts d’administration par un jeton d’accès personnel : avant la date prévue de désactivation, le 2026-11-11, remplacez l’ancien jeton par un jeton
nap_.
Les quatre actions commencent ici : https://api.apiyi.com/account/profile. Vous en avez pour une quinzaine de minutes. Une fois terminé, vous utiliserez des identifiants distincts pour la connexion, l’invocation des modèles et les scripts d’administration. Si l’un d’eux pose problème, vous n’aurez qu’à vous occuper de celui-là.
Auteur : équipe technique d’APIYI
Échanges techniques : pour en savoir plus sur les comptes et les jetons, consultez la FAQ sur la sécurité des comptes et les jetons d’accès personnels dans le centre de documentation docs.apiyi.com.
