Vue d'ensemble
Une clé de site est l'identifiant qui relie ton widget à Caputchin. Tu en crées une dans une équipe, et chaque clé est une paire de valeurs plus ses propres réglages, statistiques et historique.
Une clé ou plusieurs ?
La plupart des sites n'en ont besoin que d'une. Crée une clé séparée quand tu veux qu'une surface soit mesurée ou réglée à part :
- Une par environnement (préproduction et production) pour que le trafic de test ne brouille pas tes vraies statistiques.
- Une par formulaire ou produit quand tu veux des stats indépendantes, ou des réglages de sécurité différents, pour chacun.
Les clés d'une même équipe partagent par défaut un seul jeu de personnalisation de jeux (une clé peut le remplacer dans ses propres réglages), donc séparer sert surtout à isoler les réglages et les statistiques. Dans le doute, commence avec une seule et sépare plus tard.
Crée une clé
- Ouvre ton équipe et va dans Clés de site.
- Clique Créer une clé de site, donne-lui un nom, et clique Créer. Un nom est tout ce qu'il demande.
Ça renvoie les deux valeurs que tu utiliseras partout ailleurs :
| Valeur | Ressemble à | Où elle va |
|---|---|---|
| Clé publique | cpt_pub_... | L'attribut sitekey du widget, dans ta page. Sans danger dans le navigateur. |
| Secret | cpt_sec_... | Ton serveur, dans l'appel /siteverify. Ne le livre jamais au navigateur. |
Le secret n'est montré qu'une fois, à la création, donc copie-le à ce moment. La clé publique est toujours visible ensuite sur la page Intégration de la clé, qui montre aussi des extraits d'embed prêts à coller.
Nom
Le nom d'une clé est une étiquette pour ton usage, sur la page Paramètres de la clé sous Identification. Il n'apparaît pas dans le widget et n'affecte pas la vérification, donc renomme-le quand tu veux.
Statut : activer et désactiver
Chaque clé a une bascule Activée sur sa page Paramètres. Une clé désactivée rejette chaque appel /siteverify, donc la vérification s'arrête aussitôt sans rien supprimer. Désactive une clé quand tu fais tourner pour quitter un déploiement compromis, et réactive-la quand tu es prêt.
Fais tourner le secret
Fais tourner le secret depuis la page Paramètres dès que tu penses qu'il a pu fuiter. La rotation est immédiate : le nouveau secret fonctionne aussitôt et l'ancien cesse de vérifier sur-le-champ, sans fenêtre de recouvrement. La clé publique est inchangée, donc seul ton backend a besoin de la nouvelle valeur. Déploie-la rapidement pour que les vérifications en cours continuent de réussir.
Supprime une clé
Supprimer est définitif. Sur la page Paramètres, Supprimer la clé de site retire la clé et sa configuration de vérification, et la vérification s'arrête immédiatement. Tu saisis le nom de la clé (ou sa clé publique) pour confirmer, et c'est irréversible. Si tu veux seulement mettre une clé en pause, désactive-la plutôt.
Réglages ayant leur propre page
- Sécurité : origines CORS, en-têtes requis, difficulté du proof of work, blocage des bots et limite de débit.
- Statistiques et sessions : l'entonnoir de vérification et le journal par session.
- Journaux d'audit : un relevé des changements faits sur la clé.