Sécuriser une connexion au logiciel de votre clinique

• Vérifiez dans la documentation de votre API quelle méthode elle utilise (clé API, jeton Bearer, authentification de base ou OAuth2) et les noms exacts qu’elle attend.
• Créez des identifiants seulement pour AlloMia, avec seulement les accès dont l’agent a besoin. Vous pourrez alors les désactiver sans toucher à vos autres systèmes.
• Toute personne qui peut ouvrir l’outil dans le tableau de bord de votre clinique peut afficher ces valeurs avec l’icône en forme d’œil. Ne donnez accès au tableau de bord qu’aux personnes qui peuvent les voir.

1. Dans le menu de gauche, cliquez sur Outils et actions, puis sur Outils (Tools & Actions et Tools si votre tableau de bord s’affiche en anglais), puis sur l’outil.
2. Cliquez sur l’onglet Authentification.
3. Sous Type d’authentification, choisissez une des options ci-dessous et remplissez ses champs.
4. Cliquez sur Enregistrer les paramètres.

Changer de Type d’authentification efface ce que vous aviez tapé pour le type précédent.

• Aucune authentification : pour un point de terminaison qui ne demande aucun identifiant.
• Clé API : choisissez l’Emplacement de la clé API (En-tête ou Paramètre de requête), tapez le Nom de la clé attendu par votre API (par exemple X-API-Key ou api_key), puis la Clé API. AlloMia envoie la valeur exactement comme vous l’avez tapée : ajoutez le préfixe dont votre API a besoin, s’il y a lieu.
• Jeton d’authentification (Bearer) : collez le jeton. AlloMia envoie Authorization: Bearer VOTRE_JETON.
• Authentification de base : tapez le Nom d’utilisateur et le Mot de passe. AlloMia les envoie encodés en base64 dans un en-tête Authorization: Basic.
• OAuth2 : voir la section suivante.

1. Sous Type d’authentification, choisissez OAuth2.
2. Remplissez URL du jeton, ID client et Secret client.
3. Choisissez le Type d’autorisation. Les connexions de serveur à serveur utilisent habituellement Identifiants client. Code d’autorisation et Utilisateur client (Personnalisé) demandent aussi le code fourni par votre logiciel, dans le champ Code d’autorisation.
4. Si votre API demande des portées, tapez-les dans Portée (Optionnel), séparées par des espaces.
5. Cliquez sur Enregistrer les paramètres.
6. Sous Jeton OAuth2, cliquez sur Obtenir un jeton. Le badge passe à Valide et indique le temps restant. En cas d’échec, le panneau affiche la réponse de votre point de terminaison de jeton.

• Pour obtenir un jeton, AlloMia envoie un POST à l’URL du jeton avec un corps encodé comme un formulaire : client_id, client_secret, grant_type et, s’il est rempli, scope. Avec Code d’autorisation, il ajoute code; avec Utilisateur client (Personnalisé), authcode.
• Votre point de terminaison de jeton doit répondre en JSON avec access_token et, idéalement, expires_in en secondes.
• Chaque requête à votre API porte ensuite un en-tête Authorization: Bearer avec le jeton.
• Pendant les appels, AlloMia obtient son propre jeton et le réutilise jusqu’à environ 5 minutes avant son expiration (une heure si expires_in manque). Il n’utilise pas les jetons d’actualisation.
• Le panneau Jeton OAuth2 sert seulement à l’onglet Tests. Actualiser obtient un nouveau jeton seulement s’il reste moins de 5 minutes. Pour en forcer un nouveau, par exemple après avoir changé le Secret client, cliquez sur l’icône Effacer les jetons, puis sur Obtenir un jeton. L’icône de copie copie le jeton pour que vous puissiez l’essayer ailleurs.
• Un code d’autorisation n’est souvent valide qu’une fois. Avec Code d’autorisation, vérifiez auprès de l’entreprise qui fournit votre logiciel que le code reste valide. Obtenir un jeton n’envoie pas le code pour ce type d’autorisation : il peut donc échouer même si les appels fonctionnent.

Plus bas dans le même onglet, sous En-têtes HTTP :

1. Cliquez sur Ajouter un en-tête.
2. Sous Clé, choisissez Content-Type, Accept ou Cache-Control et une valeur, ou choisissez En-tête personnalisé et tapez le nom et la valeur de l’en-tête.
3. Cliquez sur Enregistrer les paramètres.

La valeur d’un en-tête personnalisé peut contenir une variable, par exemple {{patientId}}. Chaque en-tête doit avoir une clé et une valeur, sinon l’outil ne s’enregistre pas. Si vous avez choisi un Type d’authentification, n’ajoutez pas d’en-tête Authorization ici : AlloMia s’en occupe.

Dans l’onglet Tests, cliquez sur Tester l’outil. Un statut 401 ou 403 veut dire que votre API a refusé les identifiants. Consultez Tester une connexion.

Problème connu : avec Jeton d’authentification (Bearer) et Authentification de base, Tester l’outil n’envoie pas l’en-tête Authorization comme le font les appels. Le test peut donc échouer même si les appels fonctionnent. Pour tester avant la mise en service, utilisez plutôt Clé API : Emplacement de la clé API En-tête, Nom de la clé Authorization et, comme Clé API, le mot Bearer, une espace et votre jeton (ou Basic, une espace et l’encodage base64 de utilisateur:motdepasse). Le test et les appels envoient alors le même en-tête.

• Pour changer une clé, un jeton ou un mot de passe, ouvrez l’onglet Authentification de l’outil, remplacez la valeur et cliquez sur Enregistrer les paramètres. Les appels qui commencent ensuite utilisent la nouvelle valeur.
• Si des identifiants ont pu fuiter, ou si une personne qui les connaissait part, changez-les d’abord dans votre logiciel, puis ici.
• Supprimer un outil ne désactive pas ses identifiants dans votre logiciel. Faites-le dans votre logiciel.

• 401 ou 403 : vérifiez le Nom de la clé, la valeur, les espaces en trop et le préfixe. Pour OAuth2, cliquez sur l’icône Effacer les jetons, puis sur Obtenir un jeton.
• Obtenir un jeton affiche une erreur : vérifiez l’URL du jeton, l’ID client, le Secret client et le Type d’autorisation, cliquez sur Enregistrer les paramètres, puis réessayez.
• Le résultat du test n’affiche aucun code de statut : AlloMia n’a pas pu obtenir de jeton OAuth2, ou n’a pas pu joindre votre URL. Pour OAuth2, cliquez sur Obtenir un jeton pour voir l’erreur.
• « Veuillez remplir tous les champs obligatoires » s’affiche à l’enregistrement : remplissez tous les champs du Type d’authentification choisi, et donnez une clé et une valeur à chaque en-tête.