Créer un jeton
- Connectez-vous à app.liftpad.app et ouvrez Account, puis API tokens (le tableau de bord est en anglais pour l'instant).
- Donnez-lui un nom reconnaissable (par exemple GitHub Actions).
- Choisissez l'équipe permise (All my teams, ou une seule équipe), l'accès (Deploy ou Read only) et l'expiration (90 days, 1 year ou No expiry).
- Appuyez sur Create token et copiez-le tout de suite : il commence par lp_ et n'est montré qu'une fois. Liftpad n'en garde qu'une empreinte.
Les jetons se créent seulement depuis une session du tableau de bord : un jeton ne peut jamais en créer un autre.
L'utiliser
curl -sS https://api.liftpad.app/v1/me -H "Authorization: Bearer $LIFTPAD_TOKEN"La CLI le lit dans LIFTPAD_TOKEN ou dans ~/.liftpad.json. En intégration continue, gardez-le dans le coffre de secrets de la plateforme, jamais dans le dépôt.
Read ou deploy
| Accès | Ce qu'il peut faire |
|---|---|
read | Voir les sites, déploiements, vérifications, domaines, formulaires et envois, statistiques, équipes, crédits et le journal d'activité. Ne change jamais rien. Agit comme un observateur d'équipe. |
deploy | Tout ce que read peut faire, plus créer des sites, déployer, publier et revenir en arrière, mettre hors ligne, connecter et retirer des domaines, extraits de code, tests A/B et envois de formulaire. Agit au plus comme un développeur, même si son propriétaire est propriétaire ou administrateur. |
Un jeton n'est jamais plus fort que la personne qui l'a créé : si elle est observatrice, le jeton ne fait que lire. Le jeton d'un membre facturation ne fait que lire.
Chaque opération de la référence indique l'accès minimal requis, comme son champ x-liftpad-scopes dans le document OpenAPI.
Ce qu'un jeton ne peut jamais faire
- Modifier votre compte, les membres, les invitations, la facturation ou le forfait.
- Lire ou modifier les notifications (webhooks), ou changer le mot de passe visiteur d'un site.
- Acheter des domaines, acheter ou dépenser des crédits (le créateur de site IA).
- Supprimer un site ou le déplacer vers une autre équipe.
- Agir comme opérateur de Liftpad, même si son propriétaire en est un.
Ces appels répondent 403 avec "error": "session_required", sauf supprimer ou déplacer un site, qui répondent 403 avec "error": "forbidden" (un jeton agit au plus comme un développeur, et seul un propriétaire peut le faire). Faites-les dans le tableau de bord. Le champ x-liftpad-token-error de chaque opération du document OpenAPI donne le code exact.
Expiration et révocation
- L'expiration est choisie à la création (au plus 730 jours par l'API). Ensuite, les appels répondent 401.
- Ne fixer aucune expiration (No expiry) est permis, mais déconseillé : en intégration continue, préférez un jeton deploy limité à une équipe, valide 90 jours, et remplacez-le.
- Révoquez un jeton dans Account > API tokens. Changer votre mot de passe ou Sign out everywhere annule tous vos jetons. Quitter une équipe, ou en être retiré, annule vos jetons limités à cette équipe.
- Last used indique la dernière utilisation (mise à jour au plus une fois par heure).
Erreurs possibles
| HTTP | error | Sens |
|---|---|---|
| 401 | unauthorized | Aucun jeton, un mauvais, un expiré ou un révoqué |
| 403 | session_required | Cela exige le tableau de bord (voir plus haut) |
| 403 | forbidden | Votre rôle, ou l'accès du jeton, est insuffisant (aussi un jeton qui supprime ou déplace un site) |
| 404 | not_found | Introuvable, ou invisible pour ce jeton |
| 429 | rate_limited | Plus de 1200 requêtes par minute : attendez et réessayez |