po_sk_ Serveur à serveur Clé secrète
- Accès complet dans le cadre du compte
- Jamais livré dans le code du navigateur
- Aucun en-tête Origin requis
- Bloqué pour MCP
Authentification et Clés
Un jeton Bearer. Chaque point de terminaison.
Chaque point de terminaison produit de PaperOffice-API attend l'en-tête Authorization: Bearer. Aucun flux OAuth, aucun renouvellement.
Deux types de jetons, dix portées d'autorisation, limites de débit documentées.
Un en-tête Aucun flux OAuth Révocable à tout moment
- Infrastructure propre en UE Vos données restent en Europe.
- ISO/IEC 27001 certifié Sécurité certifiée.
- SOC 2 Type II en préparation Normes d'audit internationales.
- Plus de 24 ans d'expérience Eprouvé. Stable. Avenir sécurisé.
curl -X POST "https://api.paperoffice.ai/latest/job/add/workflow" \ -H "Authorization: Bearer po_ut_YOUR_API_KEY" \ -F "[email protected]" \ -F "idp_collection=invoice" \ -F "model=basic-pro-max"import requestsresponse = requests.post( "https://api.paperoffice.ai/latest/job/add/workflow", headers={"Authorization": "Bearer po_ut_YOUR_API_KEY"}, files={"file_1": open("invoice.pdf", "rb")}, data={"idp_collection": "invoice", "model": "basic-pro-max"},)print(response.json())const form = new FormData();form.append("file_1", new Blob([await readFile("invoice.pdf")]), "invoice.pdf");form.append("idp_collection", "invoice");form.append("model", "basic-pro-max");const response = await fetch("https://api.paperoffice.ai/latest/job/add/workflow", { method: "POST", headers: { Authorization: "Bearer po_ut_YOUR_API_KEY" }, body: form,});console.log(await response.json());Premier appel
Définir l'en-tête, choisir la pipeline, soumettre
Le chemin vers /latest/job/add/ est le nom de la file d'attente du job : généralement sous la forme handler___command (par exemple paperoffice_aiocr___generate), pour IDP structuré, utilisez votre propre workflow de pipeline.
- Un en-tête
Authorization: Bearer po_ut_… — un point de terminaison produit n'a pas besoin de plus. po_sk_ et po_ut_ n'envoient pas d'en-tête Origin.
- Pipeline dans le chemin
handler___command avec trois underscores ; workflow est l'exception avec son propre slug. La notation par points répond à API avec HTTP 400 JOB_CONFIG_INVALID.
- Résultat ou job_id
client_wait est par défaut true : API maintient la connexion et renvoie le résultat en ligne. Si la fenêtre temporelle est insuffisante, HTTP 202 avec job_id et poll_url pour GET /latest/job/get/{job_id} est retourné.
Pour idp_collection=invoice, basic-pro-max est le modèle recommandé : l'OCR-first limite les collections imprimées avec des positions de toute façon à basic-pro-max ; un model=premium envoyé sera renvoyé en tant que model: basic-pro-max.
Types de jetons
Deux types de jetons, clairement séparés
Les deux doivent être envoyés au serveur. Ils sont créés, rotatifs et révoqués dans l'application sous Compte → API.
po_ut_ Lié à l'utilisateur User Token
- Limitable à des zones spécifiques
- Jamais livré dans le code du navigateur
- Aucun en-tête Origin requis
- Autorisé pour MCP
Les appels directs depuis le navigateur ne passent pas par ces deux jetons, mais par la clé publishable po_pk_ — liée à l'origine, avec budget et limites de taux. Voir les clés publishable
Autorisations
Dix domaines par jeton utilisateur
Un jeton utilisateur porte exactement les domaines que vous lui attribuez lors de sa création. Si un domaine manque, la réponse API renvoie HTTP 403.
- Documents
documentsTéléchargement, téléchargement, traitement
- Workspaces
workspacesGérer les dossiers et la structure
- Tâches IA
ai_jobsOCR, IDP, Extraction
- Facturation
billingLire l'utilisation et le solde du compte
- Utilisateurs
usersGérer les membres de l'équipe
- Webhooks
webhooksRecevoir des événements
- Base de connaissances
knowledge_baseBase de connaissances et FAQ
- Agents
agentsConfigurer les agents IDP
- Flux de travail
workflowsCréer des automatisations
- Conformité
complianceAudit, RGPD, archivage
Limites de taux
Ce que compte le API
La facturation se fait par token ; sans Bearer, par adresse IP. Les valeurs suivantes sont les minima documentés applicables à chaque tarif.
- 5
- Requêtes par seconde
- 30
- Requêtes par minute
- 100
- Requêtes par heure
- 500
- Requêtes par jour
- Les valeurs restantes figurent dans l'en-tête de réponse
Les en-têtes RateLimit-* et X-RateLimit-* de chaque réponse indiquent ce qui reste disponible dans la fenêtre actuelle.
- Dépassement : HTTP 429
L'erreur API renvoie RATE_LIMIT_EXCEEDED. Réessayez l'appel après le délai indiqué dans l'en-tête Retry-After.
- Les tarifs supérieurs augmentent ces valeurs
Les tarifs payants sont supérieurs à ces valeurs minimales. Le détail de l'étendue de chaque tarif figure sur la page des prix.
Sécurité
Ce qui sécurise une clé
Six mécanismes qui s'activent en production — chacun avec un code de statut vérifiable ou un emplacement dans l'application.
- Rotation et révocation
Les clés sont créées, listées, rotées et révoquées dans l'application sous Compte → API. Un token révoqué répond par HTTP 401 TOKEN_NOT_FOUND.
- Expiration et validité
Les jetons expirés ou erronés renvoient HTTP 401 INVALID_TOKEN. Les clés publishable expirent au plus tard après 365 jours.
- Limites par token
Les limites de débit sont comptées par jeton, et non par compte. Une clé compromise n'affecte donc pas l'ensemble de l'exploitation.
- Liaison à l'origine dans le navigateur
Les clés publishable exigent un Origin dans la liste autorisée pour chaque requête ; sinon, l'API répond 403 ORIGIN_HEADER_REQUIRED ou DOMAIN_NOT_ALLOWED.
- Suivi de l'utilisation
Chaque réponse facturée contient un bloc _billing ; l'évaluation par appel fournit GET /latest/billing/usage-detail.
- Blocages stricts
La connexion au compte, la gestion des clés, OAuth, l'administration des partenaires, la mutation de paiement et le crack de mot de passe sont bloqués pour les clés de navigateur. Le produit APIs incluant la lecture de facturation et les webhooks sont autorisés. La suppression de Workspace, le vidage de la corbeille et l'autorisation Legal-Hold ne sont possibles que dans l'application (403 UI_ONLY_ENDPOINT).
Pour aller plus loin
Ce qui est associé
Les pages qui couvrent tout ce qui tourne autour de l'authentification.
Publishable Keys Appels directs depuis le navigateur avec po_pk_. Webhooks Recevoir des événements au lieu de sonder. Collection Postman Tous les points de terminaison à parcourir. API-Catalogue Quel point de terminaison fait quel travail. llms-full.txt La documentation complète pour votre IDE. Tarifs Quelle est l'étendue de chaque tarif.
Commencer
Créer la clé, définir l'en-tête, envoyer
Vous créez la clé dans l'application sous Compte → API. Le premier appel est expliqué étape par étape dans le Premier appel API.
Exploitation et confiance
Ce que les équipes Enterprise vérifient avant le premier appel
Contrats, sécurité, support et limites, tous liés au même endroit.
- Sécurité et conformité ISO/IEC 27001 certifié, SOC 2 Type II en préparation, infrastructure propre en UE.
- SLA 99,9 % Disponibilité par mois civil, garantie contractuellement.
- Traitement des données pour le compte (DPA) Contrat de traitement des données selon l'art. 28 du RGPD.
- Aucun sous-traitant Un fournisseur pour le moteur, le stockage et le traitement.
- Support technique Accès direct à l'équipe de support via un ticket.
- Limites de taux et en-têtes Valeurs minimales documentées par jeton, en-têtes RateLimit dans chaque réponse.
- Tarifs et Credits Prix transparents des Credits par appel.
Prochaine étape
Voici comment continuer
L'étape suivante recommandée dans l'entonnoir des développeurs et deux branches correspondantes.