poai_ Serveur à serveur Clé API
- Droits du compte qui la crée (admin : l'ensemble du compte)
- Jamais livré dans le code du navigateur
- Aucun en-tête Origin requis
- Bloqué pour MCP
- Peut être limitée à des adresses IP
Authentification et Clés
Un jeton Bearer. Chaque point de terminaison.
Chaque point de terminaison produit de PaperOffice-API attend l'en-tête Authorization: Bearer. Aucun flux OAuth, aucun renouvellement.
Deux types de jetons, droits clairs, limites de taux documentées.
Un en-tête Aucun flux OAuth Révocable à tout moment
- Infrastructure propre en UE Vos données restent en Europe.
- ISO/IEC 27001 certifié Sécurité certifiée.
- SOC 2 Type II en préparation Normes d'audit internationales.
- Plus de 24 ans d'expérience Eprouvé. Stable. Avenir sécurisé.
curl -X POST "https://api.paperoffice.ai/latest/job/add/workflow" \ -H "Authorization: Bearer po_ut_YOUR_API_KEY" \ -F "file_1=@invoice.pdf" \ -F "idp_collection=invoice" \ -F "model=basic-pro-max"import requestsresponse = requests.post( "https://api.paperoffice.ai/latest/job/add/workflow", headers={"Authorization": "Bearer po_ut_YOUR_API_KEY"}, files={"file_1": open("invoice.pdf", "rb")}, data={"idp_collection": "invoice", "model": "basic-pro-max"},)print(response.json())const form = new FormData();form.append("file_1", new Blob([await readFile("invoice.pdf")]), "invoice.pdf");form.append("idp_collection", "invoice");form.append("model", "basic-pro-max");const response = await fetch("https://api.paperoffice.ai/latest/job/add/workflow", { method: "POST", headers: { Authorization: "Bearer po_ut_YOUR_API_KEY" }, body: form,});console.log(await response.json());Premier appel
Définir l'en-tête, choisir la pipeline, soumettre
Le chemin après /latest/job/add/ est le nom de l'opération: généralement sous la forme handler___command (par exemple paperoffice_aiocr___generate), et pour les IDP structurés, le pipeline dédié workflow.
- Un en-tête
Authorization: Bearer po_ut_… — un point de terminaison produit n'a pas besoin de plus. poai_ et po_ut_ n'envoient pas d'en-tête Origin.
- Pipeline dans le chemin
handler___command avec trois underscores ; workflow est l'exception avec son propre slug. La notation par points répond à API avec HTTP 400 JOB_CONFIG_INVALID.
- Résultat ou job_id
client_wait est par défaut true : API maintient la connexion et renvoie le résultat en ligne. Si la fenêtre temporelle est insuffisante, HTTP 202 avec job_id et poll_url pour GET /latest/job/get/{job_id} est retourné.
Pour idp_collection=invoice, basic-pro-max est le modèle recommandé. Le modèle effectivement utilisé est renvoyé dans le champ de réponse model et peut différer de celui demandé.
Types de jetons
Deux types de jetons, clairement séparés
Les deux doivent être envoyés au serveur. Ils sont créés, rotatifs et révoqués dans l'application sous Compte → API.
po_ut_ Lié à l'utilisateur User Token
- Apporte les droits de son utilisateur
- Jamais livré dans le code du navigateur
- Aucun en-tête Origin requis
- Autorisé pour MCP
Les appels directs depuis le navigateur ne passent pas par ces deux jetons, mais par la clé publishable po_pk_ — liée à l'origine, avec budget et limites de taux. Voir les clés publishable
Autorisations
Ce qu'un User Token peut faire
Un User Token dispose exactement des droits de son utilisateur dans ces domaines. Certains domaines ne peuvent pas être attribués lors de la création; pour les restreindre, un jeton de groupe (po_gt_) avec les droits d'un groupe d'utilisateurs est utilisé.
- Documents
documentsTéléchargement, téléchargement, traitement
- Workspaces
workspacesGérer les dossiers et la structure
- Tâches IA
ai_jobsOCR, IDP, Extraction
- Facturation
billingLire l'utilisation et le solde du compte
- Utilisateurs
usersGérer les membres de l'équipe
- Webhooks
webhooksRecevoir des événements
- Base de connaissances
knowledge_baseBase de connaissances et FAQ
- Agents
agentsConfigurer les agents IDP
- Flux de travail
workflowsCréer des automatisations
- Conformité
complianceAudit, RGPD, archivage
Limites de taux
Ce que compte le API
La facturation se fait par token ; sans Bearer, par adresse IP. Les valeurs suivantes sont les minima documentés applicables à chaque tarif.
- 5
- Requêtes par seconde
- 30
- Requêtes par minute
- 100
- Requêtes par heure
- 500
- Requêtes par jour
- Les valeurs restantes figurent dans l'en-tête de réponse
Les en-têtes RateLimit-* et X-RateLimit-* de chaque réponse indiquent ce qui reste disponible dans la fenêtre actuelle.
- Dépassement : HTTP 429
L'erreur API renvoie RATE_LIMIT_EXCEEDED. Réessayez l'appel après le délai indiqué dans l'en-tête Retry-After.
- Les tarifs supérieurs augmentent ces valeurs
Les tarifs payants sont supérieurs à ces valeurs minimales. Le détail de l'étendue de chaque tarif figure sur la page des prix.
Sécurité
Ce qui sécurise une clé
Six mécanismes qui s'activent en production — chacun avec un code de statut vérifiable ou un emplacement dans l'application.
- Rotation et révocation
Les clés sont créées, listées, rotées et révoquées dans l'application sous Compte → API. Un token révoqué répond par HTTP 401 TOKEN_NOT_FOUND.
- Expiration et validité
Les jetons expirés répondent avec HTTP 401 BEARERTOKEN_EXPIRED, ceux erronés avec HTTP 401 INVALID_TOKEN. Publishable Keys sont valables 180 jours à compter de leur création.
- Limites par token
Dans l'offre Free, des limites de débit s'appliquent par jeton. Dans les offres payantes, le compte est pris en compte; tant que Credits sont disponibles, aucune limite de débit ne s'applique.
- Liaison à l'origine dans le navigateur
Les clés publishable exigent un Origin dans la liste autorisée pour chaque requête ; sinon, l'API répond 403 ORIGIN_HEADER_REQUIRED ou DOMAIN_NOT_ALLOWED.
- Suivi de l'utilisation
Chaque réponse facturée contient un bloc _billing ; l'évaluation par appel fournit GET /latest/billing/usage-detail.
- Blocages stricts
La connexion au compte, la gestion des clés, OAuth, l'administration des partenaires, la mutation de paiement et le crack de mot de passe sont bloqués pour les clés de navigateur. Le produit APIs incluant la lecture de facturation et les webhooks sont autorisés. La suppression de Workspace, le vidage de la corbeille et l'autorisation Legal-Hold ne sont possibles que dans l'application (403 UI_ONLY_ENDPOINT).
Pour aller plus loin
Ce qui est associé
Les pages qui couvrent tout ce qui tourne autour de l'authentification.
Publishable Keys Appels directs depuis le navigateur avec po_pk_. Webhooks Recevoir des événements au lieu de sonder. Collection Postman Tous les points de terminaison à parcourir. API-Catalogue Quel point de terminaison fait quel travail. llms-full.txt La documentation complète pour votre IDE. Tarifs Quelle est l'étendue de chaque tarif.
Commencer
Créer la clé, définir l'en-tête, envoyer
Vous créez la clé dans l'application sous Compte → API. Le premier appel est expliqué étape par étape dans le Premier appel API.
Exploitation et confiance
Ce que les équipes Enterprise vérifient avant le premier appel
Contrats, sécurité, support et limites, tous liés au même endroit.
- Sécurité et conformité ISO/IEC 27001 certifié, SOC 2 Type II en préparation, infrastructure propre en UE.
- SLA 99,9 % Disponibilité par mois civil, garantie contractuellement.
- Traitement des données pour le compte (DPA) Contrat de traitement des données selon l'art. 28 du RGPD.
- Aucun sous-traitant Un fournisseur pour le moteur, le stockage et le traitement.
- Support technique Accès direct à l'équipe de support via un ticket.
- Limites de taux et en-têtes Valeurs minimales documentées par jeton, en-têtes RateLimit dans chaque réponse.
- Tarifs et Credits Prix transparents des Credits par appel.
Prochaine étape
Voici comment continuer
L'étape suivante recommandée dans l'entonnoir des développeurs et deux branches correspondantes.
