Skip to content
CaptchAPI
Démarrage

Authentification

Comment fonctionnent les clés API, où les placer, et quelles sont les limites de débit.

Il n'y a ni en-tête Authorization ni flux OAuth. Votre clé voyage dans le champ clientKey du corps JSON de chaque requête, exactement comme chez anti-captcha et CapSolver. C'est un choix de compatibilité, pas une préférence de sécurité.

Chaque corps de requête porte la clé
{
  "clientKey": "sx_live_7Qd2… ",
  "task": { "type": "ReCaptchaV3TokenProxyLess", "…": "…" }
}

Stocker la clé

Traitez la clé comme un mot de passe auquel est attaché un solde. Quiconque la détient peut dépenser votre portefeuille.

  • Gardez-la dans une variable d'environnement ou un gestionnaire de secrets, jamais dans le dépôt.
  • Ne la mettez jamais dans du JavaScript navigateur. Une clé livrée au client est une clé donnée — appelez CaptchAPI depuis votre backend.
  • Utilisez une clé distincte par environnement et par service, pour qu'une révocation n'arrête pas tout.
  • Nous ne journalisons ni ne stockons jamais la clé en clair. Si vous la perdez, générez-en une nouvelle : nous ne pouvons pas vous la restituer.

Rotation et révocation

Créez d'abord la nouvelle clé, déployez-la, puis désactivez l'ancienne — les deux fonctionnent simultanément, donc une rotation ne nécessite aucune interruption. La désactivation est immédiate : la requête suivante avec cette clé renvoie ERROR_KEY_DISABLED.

Restreindre une clé

Chaque clé peut être limitée à une liste d'adresses IP sources et à un sous-ensemble de types de tâches. Une clé qui ne résout que du Turnstile depuis un seul serveur ne devrait pouvoir faire que cela — cela réduit les dégâts en cas de fuite.

Limites de débit

Les limites sont par clé et assez larges pour que seul un bug les atteigne. Un dépassement renvoie ERROR_RATE_LIMIT avec un HTTP 200, comme toutes les autres erreurs.

  • createTask : 120 requêtes par minute.
  • getTaskResult : 10 requêtes par seconde.
  • getBalance : 60 requêtes par minute.
  • Tâches simultanées en cours : 100 par défaut. Demandez-nous s'il vous en faut davantage — c'est un nombre, pas un forfait.

Besoin d'une limite de concurrence plus haute pour un test de charge ? Prévenez-nous à l'avance et nous la relevons pour la durée du test. Atteindre le plafond sans prévenir ressemble à un incident vu de notre côté.