Ton agence, branchée à tes IA

1. Connecte-toi à la console en Propriétaire ou Admin, avec la double authentification active.
2. Ouvre Réglages, puis Développeurs, et clique sur Créer une clé.
3. Donne-lui un nom clair. Coche seulement ce dont ton outil a besoin.
4. Tape ton code de double authentification. La clé ne s'affiche qu'une fois : copie-la tout de suite.
5. Colle-la dans l'en-tête Authorization de ton outil : Bearer, puis la clé.

Une clé commence par vlr_live_, suivi de 43 caractères. Ensuite, la console n'en montre que le début, pour la reconnaître.

https://<domaine>/api/mcp

claude mcp add --transport http velora https://<domaine>/api/mcp \
  --header "Authorization: Bearer vlr_live_…"

{
  "mcpServers": {
    "velora": {
      "command": "npx",
      "args": [
        "-y", "mcp-remote", "https://<domaine>/api/mcp",
        "--header", "Authorization:${VELORA_AUTH}"
      ],
      "env": { "VELORA_AUTH": "Bearer vlr_live_…" }
    }
  }
}

{
  "mcpServers": {
    "velora": {
      "url": "https://<domaine>/api/mcp",
      "headers": { "Authorization": "Bearer vlr_live_…" }
    }
  }
}

https://<domaine>/api/v1/openapi.json

Les outils MCP

Une clé ne voit que les outils de ses droits. Ceux de lecture sont marqués en lecture seule : ton IA peut s'en servir sans te demander.

Chaque appel porte l'en-tête Authorization: Bearer vlr_live_…. Les appels depuis un navigateur sont refusés : passe par un serveur.

curl https://<domaine>/api/v1/stats/summary?from=2026-10-01&to=2026-10-31 \
  -H "Authorization: Bearer vlr_live_…"

Une liste renvoie 50 éléments au plus et un nextCursor. Passe-le dans cursor pour la page suivante. Il vaut null à la fin.

En cas d'erreur, la réponse donne un code et un message. Les codes : unauthorized (401), insufficient_scope et browser_not_allowed (403), not_found (404), invalid_request (400), rate_limited et notification_cap_reached (429).

{ "error": { "code": "insufficient_scope", "message": "This key lacks the read:sales scope." } }

Le schéma OpenAPI 3.1 complet

Référence

• 120 appels par minute et par clé, 600 par minute pour toute l'agence.
• 50 notifications par jour pour l'agence, toutes clés confondues. La limite par modèle réglée dans la console s'ajoute.
• Au-delà : réponse 429 avec l'en-tête Retry-After. Attends ce nombre de secondes.
• 20 clés actives au plus par agence.

• On ne garde que l'empreinte de ta clé. Même nous, on ne peut pas la relire.
• Chaque clé est liée à ton agence. La base refuse elle-même de montrer les données d'une autre agence.
• Une clé n'a que les droits cochés. Une clé de lecture ne modifie rien.
• Si l'admin qui l'a créée quitte l'équipe ou perd son rôle, la clé ne marche plus.
• Chaque envoi et chaque brouillon est noté dans le journal de l'agence, avec la clé utilisée.
• L'API ne donne jamais d'e-mail, de téléphone, de nom de fan, de note interne ni de fichier.
• Clé perdue ou partagée par erreur ? Révoque-la dans la console, c'est immédiat.