Tu veux brancher un tableau de bord, un script ou un assistant sur tes données Eagr.

Un token suffit. Il se crée en trente secondes, mais il ne s'affiche qu'une fois, et il ne voit que ce que tu vois. Ces deux points sont l'essentiel de l'article.

Page Paramètres puis Connexions entière.

Paramètres, puis Connexions, dans le groupe Personnel. La page se présente ainsi : « Vos connexions personnelles : calendrier et assistant IA. »

La section qui t'intéresse s'appelle Assistant IA & tokens API.

Section Assistant IA & tokens API et son bouton Créer un token.

Bouton Créer un token. La fenêtre s'intitule Créer un token API avec la consigne « Donnez un nom descriptif à votre token pour l'identifier facilement. »

Le champ propose un exemple : ex. Reporting, intégration Claude.... Donne un nom qui dit à quoi il sert. Dans six mois, c'est le seul indice qui te restera pour savoir lequel révoquer.

Dialogue Créer un token API et son texte d'aide.

L'écran affiche Token créé avec succès !, puis l'avertissement : « Copiez ce token maintenant. Vous ne pourrez plus le voir. »

Ce n'est pas une formule de politesse. Eagr ne stocke qu'une empreinte du token, pas le token. Il est irrécupérable.

Le bouton de copie confirme avec Token copié dans le presse-papiers. Range-le dans ton gestionnaire de secrets avant de cliquer sur Terminé.

Le token commence par eag_ et fait 68 caractères. Le tableau n'en affichera plus ensuite que les douze premiers, suivis de points de suspension.

Bloc Connecter votre assistant IA.

Un seul mode d'authentification : l'en-tête Authorization.

Il n'y a pas d'en-tête X-Api-Key. Un token qui ne commence pas par eag_ est refusé.

Deux surfaces existent :

Commence par /api/v2.

Ce que toi tu vois dans Eagr, recalculé à chaque requête. C'est la question qui génère le plus de surprises, et la réponse n'est pas la même sur les deux surfaces.

Sur /api/v2, la hiérarchie d'équipes est respectée :

Sur /api/v1, non. Seul un compte Admin y lit toute l'organisation. Un token créé par tout autre compte, manager compris, y renvoie uniquement ses propres appels. C'est le piège à connaître avant de brancher une intégration sur /api/v1, y compris pour récupérer un transcript.

Un token n'est donc pas une clé d'organisation. Si ton intégration doit lire tous les appels, crée le token depuis un compte Admin, et appelle /api/v2.

Un appel privé n'est lisible que par son propriétaire. Personne d'autre ne le voit, pas même lorsqu'un membre de l'équipe Eagr se connecte à ta place pour le support. Les listes d'appels renvoyées par un token n'incluent pas les appels privés. Sur /api/v2, leur propriétaire peut demander explicitement les siens, voir /api/v2/docs. Sur /api/v1, ils ne sont jamais listés. Personne ne reçoit l'appel privé d'un autre, quel que soit son rôle.

Le bouton de suppression ouvre Supprimer le token API, avec l'avertissement « Cette action est irréversible. Toute application utilisant ce token perdra l'accès. » La confirmation affiche Token supprimé.

Tu ne vois et ne supprimes que tes tokens. Si tu es Admin, la section Tokens de votre organisation liste en plus les tokens actifs des autres membres. Clique Révoquer, puis confirme dans Révoquer ce token API ?. Toutes les intégrations qui utilisent ce token cessent de fonctionner, et Eagr affiche Token révoqué.

Il n'existe pas de rotation : pour changer un token, tu en crées un nouveau, tu déploies, puis tu supprimes l'ancien.

Vingt tokens actifs par personne, au maximum. Ce plafond est fixe. Au-delà, Eagr te demande d'en supprimer un avant d'en créer un autre. Un token expiré ne compte pas.

Le tableau affiche trois colonnes : Créé le, Dernière utilisation et Expire le. Un token jamais utilisé affiche Aucune donnée.

La date de dernière utilisation est mise à jour au mieux, en tâche de fond. Un décalage de quelques minutes est normal, une absence ponctuelle de mise à jour aussi. Ne t'en sers pas comme journal d'audit.

{"error":"Unauthorized"} sur /api/v1
Plusieurs causes, dans cet ordre de fréquence : l'en-tête n'est pas au format Bearer, le token a été supprimé ou a expiré, le préfixe eag_ a sauté à la copie, ou le compte qui l'a créé a été désactivé.

AUTHENTICATION_REQUIRED sur /api/v2
Même famille de causes. Regarde d'abord la colonne Expire le. Si le compte qui a créé le token a été désactivé ou est en attente, le token ne fonctionne plus, et définitivement : même si le compte est réactivé, il faudra en créer un nouveau.

Une erreur INSUFFICIENT_PERMISSIONS
Tu demandes une ressource que le créateur du token ne voit pas. Ce n'est pas un problème de token, c'est un problème de périmètre.

Une erreur 429
Eagr limite le nombre de requêtes par minute, par token et par personne. Ce plafond est fixe, et multiplier les tokens ne le relève pas. La réponse indique dans l'en-tête Retry-After combien de temps attendre avant de réessayer.

Tu as fermé la fenêtre sans copier
Il n'y a rien à récupérer. Supprime le token orphelin et crée-en un nouveau.

Un token expire un an après sa création. Cette durée est fixe : tu ne peux ni la choisir ni la prolonger. Les tokens créés avant cette règle affichent Jamais dans la colonne Expire le. Avant l'échéance, crée le nouveau, déploie-le, puis supprime l'ancien.

On ne peut pas restreindre ses droits. Il n'y a ni périmètre par ressource, ni lecture seule optionnelle, ni liste d'adresses IP autorisées. Un token vaut la visibilité complète de son créateur.

Il ne sert pas non plus à recevoir des événements. Pour être prévenu quand une analyse se termine, c'est un webhook. Voir « Comment créer un webhook sortant ».

Et retirer l'accès à un utilisateur coupe aussitôt ses tokens et ses assistants IA connectés. S'il est réactivé, il devra créer de nouveaux tokens et reconnecter ses assistants. C'est le bon geste au départ d'un collaborateur.

À lire ensuite : « Comment créer un webhook sortant », « Que contient l'événement call.available », « Comment connecter Claude ou Cursor à Eagr ».