Démarrage

L’API 0flaw sert deux usages : pousser vos employés depuis votre SIRH ou votre annuaire, et recevoir les événements de sécurité dans votre SIEM. Elle est conçue pour être branchée une fois puis oubliée.

1. Créez une clé API

Dans le dashboard : Réglages → Clés API. Choisissez les permissions, puis copiez la clé immédiatement.

La clé n’est affichée qu’une seule fois. Elle est stockée hachée chez nous : nous ne pouvons pas vous la redonner. En cas de doute, révoquez-la et créez-en une nouvelle — la révocation est immédiate.

2. Vérifiez qu’elle fonctionne

GET /api/v1/ping ne demande aucune permission : c’est le premier appel à faire.

curl https://api.0flaw.fr/api/v1/ping \
  -H "Authorization: Bearer 0flaw_live_votre_cle"

{
  "ok": true,
  "entreprise_id": "00000000-0000-0000-0000-000000000000",
  "scopes": ["write:employees"],
  "api_key_id": "7c1e…"
}

3. Synchronisez vos employés

Commencez toujours par une simulation : dry_run renvoie le rapport complet sans écrire la moindre donnée.

curl -X POST https://api.0flaw.fr/api/v1/employees/sync \
  -H "Authorization: Bearer 0flaw_live_votre_cle" \
  -H "Content-Type: application/json" \
  -d '{
    "employees": [
      { "external_id": "hr-4821", "email": "jane.doe@acme.com",
        "nom": "Doe", "prenom": "Jane", "secteur": "Finance" }
    ],
    "dry_run": true
  }'

Le rapport détaille, employé par employé, ce qui serait fait : created, updated, reactivated, skipped ou failed. Une fois le résultat conforme à vos attentes, relancez sans dry_run.

Fournissez un external_id stable (l’identifiant de votre SIRH). C’est lui qui permet de suivre un employé même si son adresse email change — sans lui, un changement d’email est vu comme un départ suivi d’une arrivée.

4. Recevez les événements

Configurez un webhook pour être notifié en quelques secondes lorsqu’un employé clique sur un lien de phishing ou saisit ses identifiants.

Configurer les webhooks

Format des livraisons, vérification de signature et politique de réessais.

Principes à connaître

Une clé, une entreprise

Une clé ne peut ni lire ni modifier les données d’une autre entreprise. L’identifiant d’entreprise n’est jamais un paramètre : il est déduit de la clé.

Opérations idempotentes

Rejouer une synchronisation ne crée aucun doublon. Un même événement webhook n’est jamais livré deux fois.

Aucune suppression définitive

L’API désactive (archive) les employés : leur historique de campagnes et de formations est conservé.

Limite de débit

600 requêtes par tranche de 15 minutes et par clé, avec des en-têtes RateLimit-* sur chaque réponse.

Démarrer

Lecture des données

Webhooks

1. Créez une clé API

2. Vérifiez qu’elle fonctionne

3. Synchronisez vos employés

4. Recevez les événements

Configurer les webhooks

Principes à connaître

Une clé, une entreprise

Opérations idempotentes

Aucune suppression définitive

Limite de débit

​1. Créez une clé API

​2. Vérifiez qu’elle fonctionne

​3. Synchronisez vos employés

​4. Recevez les événements

Configurer les webhooks

​Principes à connaître

Une clé, une entreprise

Opérations idempotentes

Aucune suppression définitive

Limite de débit

1. Créez une clé API

2. Vérifiez qu’elle fonctionne

3. Synchronisez vos employés

4. Recevez les événements

Principes à connaître