Passer au contenu principal
Les Apps sont des conteneurs pour vos identifiants d’API. Chaque App possède ses propres clés, jetons et paramètres.

​
Identifiants de l’App

Lorsque vous créez une App, vous pouvez générer ces identifiants :
IdentifiantCas d’usage
API Key & SecretAuthentification avec OAuth 1.0a. Utilisés pour signer les requêtes ou générer des jetons utilisateur.
Access Token & SecretEffectuer des requêtes au nom de votre propre compte (OAuth 1.0a).
Client ID & SecretAuthentification avec OAuth 2.0. Utilisés pour le flux de code d’autorisation.
Bearer TokenAuthentification pour l’App uniquement sur les endpoints de données publiques.
Choisissez OAuth 2.0 pour les nouveaux projets. Il offre des portées granulaires et est requis pour les endpoints en contexte utilisateur de X API v2.

​
Créer une app

1

Ouvrir la Console de développement

Accédez à console.x.com et connectez-vous.
2

Cliquer sur « Create App »

Saisissez un nom, une description et un cas d’utilisation pour votre app.
3

Générer les identifiants

Une fois l’app créée, générez les clés et les jetons dont vous avez besoin.
4

Stocker en toute sécurité

Enregistrez immédiatement vos identifiants — ils ne sont affichés qu’une seule fois.

​
Autorisations d’App (OAuth 1.0a)

Les Apps OAuth 1.0a ont trois niveaux d’autorisations :
  • Afficher les publications, les comptes et les données publiques
  • Ne peut pas publier, aimer ni modifier quoi que ce soit
  • Ne peut pas accéder aux Messages privés
La modification des autorisations oblige les utilisateurs à réautoriser votre App afin d’obtenir de nouveaux jetons avec le périmètre mis à jour.

​
Types d’App OAuth 2.0

Lors de la configuration d’OAuth 2.0, sélectionnez votre type d’App :
TypeClientCas d’utilisation
Application webConfidentialApplications côté serveur qui peuvent stocker des secrets en toute sécurité
Application automatisée / botConfidentialBots et services automatisés exécutés sur des serveurs
Application nativePublicApplications mobiles ou de bureau qui ne peuvent pas sécuriser les secrets
Application monopagePublicApplications JavaScript basées sur le navigateur
Les clients confidentiels reçoivent un Client Secret. Les clients publics utilisent uniquement PKCE.

​
URL de rappel

Les URL de rappel (URI de redirection) sont obligatoires pour les flux OAuth. Une fois qu’un utilisateur a autorisé votre App, il est redirigé vers votre URL de rappel avec un code d’autorisation.

​
Conditions requises

  • Ajoutez les URL de rappel à la liste d’autorisation de votre App dans la Console de développement
  • Les URL doivent correspondre exactement (y compris la barre oblique finale)
  • Jusqu’à 10 URL de rappel par App
  • Utilisez https:// en production
  • Pour le développement local, utilisez http://127.0.0.1 (et non localhost)

​
Protocoles non autorisés

Les protocoles suivants ne sont pas autorisés : javascript, data, file, ftp, mailto, telnet, ainsi que d’autres schémas non standard.
vbscript, javascript, vbs, data, mocha, keyword, livescript, ftp, file, gopher, acrobat, callto, daap, itpc, itms, firefoxurl, hcp, ldap, mailto, mmst, mmsu, msbd, rtsp, mso-offdap, snews, news, nntp, outlook, stssync, rlogin, telnet, tn3270, shell, sip

​
Bonnes pratiques

Utilisez des apps distinctes

Créez différentes apps pour le développement, la préproduction et la production.

Renouvelez régulièrement les identifiants

Régénérez régulièrement les clés, notamment si vous soupçonnez une compromission.

Autorisations minimales

Demandez uniquement les autorisations dont votre app a réellement besoin.

Surveillez l’utilisation

Vérifiez régulièrement la Console de développement pour suivre l’utilisation de l’API.

​
Libellés de comptes automatisés

Si votre App fait fonctionner un compte bot, vous pouvez lui appliquer le libellé « automatisé » :
  1. Accédez aux Paramètres du compte de votre bot
  2. Sélectionnez Votre compte → Automatisation
  3. Associez le compte qui le gère
Cela renforce la confiance des utilisateurs et permet de distinguer votre bot du spam.

​
Dépannage

Assurez-vous que votre URL de rappel corresponde exactement à celle enregistrée dans la Console de développement, y compris le protocole et tout éventuel slash final. Encodez l’URL en HTTP lorsque vous la transmettez comme paramètre de requête.
{
  "errors": [{
    "code": 415,
    "message": "Callback URL not approved for this client application."
  }]
}
Si votre App s’affiche comme suspendue, vérifiez vos e-mails pour voir si vous avez reçu une notification de l’équipe de la plateforme X. Utilisez le Platform Help Form pour faire appel.