# Authentification

> Clés API nouko nk_test_ et nk_live_, en-tête Bearer, séparation sandbox / production et bonnes pratiques de sécurité.

Source : https://nouko.openclouds.fr/docs/authentification

Chaque requête porte une clé API dans l’en-tête `Authorization`.

```
Authorization: Bearer nk_test_0123…(64 caractères hexadécimaux)
```

| Préfixe | Environnement | Usage |
| --- | --- | --- |
| `nk_test_` | Sandbox | Développement, données fictives, scénarios de test |
| `nk_live_` | Production | Vrais clients, après activation de la production par nouko |

Les données des deux environnements sont strictement séparées : une clé de test ne voit jamais une session de production, et inversement.

## Bonnes pratiques

- Gardez la clé **côté serveur** uniquement (jamais dans une application mobile ou du JavaScript navigateur).
- Stockez-la dans une variable d’environnement ou un coffre de secrets, jamais dans le code.
- Créez une clé par service ; révoquez-la depuis la console en cas de fuite.
- Chaque réponse porte un en-tête `X-Request-Id` : communiquez-le au support en cas de problème.

## En cas d’échec

```
HTTP/1.1 401 Unauthorized

{ "error": { "code": "unauthorized", "message": "Clé API manquante ou invalide" } }
```