# Authentification et droits

> L'en-tête Authorization Bearer fc_sk_, ce qu'une clé voit, et la liste des droits.

URL : https://docs.fanconvert.ai/fr/api/rest/authentification

Chaque requête porte la clé dans l'en-tête `Authorization: Bearer fc_sk_…`. Une clé :

- appartient à **une personne** de l'organisation, qui doit être **administratrice** ;
- ne voit que **les créatrices choisies** à sa création (une autre répond `404`, comme si elle n'existait pas) ;
- n'a que **les droits choisis** (un droit manquant répond `403` et nomme le droit) ;
- expire (7, 30 ou 90 jours) et se **révoque à tout moment** dans Réglages › API & MCP : la révocation vaut à la requête suivante ;
- est la même que celle du serveur MCP : un seul système de clés.

Les clés créées avant le 7 novembre 2026 commencent par `fc_pat_` : elles restent acceptées.

## Les droits de l'API REST [#les-droits-de-lapi-rest]

| Droit | Ce qu'il ouvre |
|---|---|
| `creators:read` | les créatrices |
| `conversations:read` | conversations et messages MYM et OnlyFans |
| `telegram:read` | conversations et messages Telegram |
| `fans:read` | étiquettes et note de l'équipe d'un fan |
| `chatting:read` | qui répond à un fan (IA, personne, pause) |
| `sales:read` | les ventes |
| `statistics:read` | les statistiques par créatrice |
| `scripts:read` · `media:read` | scripts de vente, médiathèque |
| `notifications:read` | les urgences |
| `fans:write` | écrire la note de l'équipe et poser/retirer une étiquette (avec `fans:read`) |
| `chatting:write` | mettre l'IA en pause sur un fan, ou le lui rendre (avec `chatting:read`) |
| `webhooks:read` · `webhooks:write` | lister et créer des [webhooks](/fr/api/rest/webhooks) |

**Aucun droit ne permet d'envoyer un message à un fan.**

## Données personnelles [#données-personnelles]

L'API ne rend que ce que le dashboard montre déjà à une administratrice : noms de fans, messages, notes. Traitez-les comme des données personnelles : stockage minimal, accès restreint, suppression quand vous n'en avez plus besoin.