Docs - API

Aperçu

L'URL de base pour tous les points de terminaison de l'API est :

https://password.link/api

Vous pouvez utiliser l'API pour gérer à la fois le cryptage et le décryptage du secret en dehors de notre service, sans avoir besoin de charger des ressources de notre part. Cela vous permet également d'utiliser n'importe quelle méthode de livraison pour la partie mot de passe public (la moitié du mot de passe qui est utilisée pour dériver la clé de cryptage du secret) et de créer fondamentalement n'importe quelle configuration personnalisée pour visualiser le secret.

Pour du code complet et fonctionnel, consultez les Exemples d'API.

Authentification

Chaque requête doit être authentifiée avec une clé API, envoyée dans l'en-tête Authorization :

Authorization: ApiKey public_key_abcd...

Il existe deux types de clés API :

Les deux clés API contiennent le type de la clé dans la clé elle-même, ce qui permet de les distinguer facilement.

Chaque point de terminaison ci-dessous indique le type de clé requis.

Erreurs

Lorsqu'une requête échoue, la réponse contient un objet d'erreur :

{
  "data": null,
  "metadata": null,
  "error": {
    "message": "Ciphertext can't be blank",
    "field": "ciphertext"
  }
}

Le code de statut HTTP de la réponse indique également le type d'erreur :

Chiffrement des secrets

Les secrets sont chiffrés côté client avant d'être envoyés à l'API. Cette section décrit les formats de mot de passe et de texte chiffré attendus par le service.

Les parties du mot de passe

Le mot de passe utilisé pour crypter le secret dans AES doit consister en deux chaînes de 18 caractères. La clé de chiffrement proprement dite sera la concaténation de ces deux chaînes ("partie privée" + "partie publique") et sera dérivée du mot de passe à l'aide de PBKDF2.

Password: fkgjbnvlakwiejgutnFIGKEOTIRUBNAKQJRL
  => Private part: fkgjbnvlakwiejgutn
  => Public part:  FIGKEOTIRUBNAKQJRL

La partie privée est envoyée à l'API (encodée en Base64) et stockée avec le secret. La partie publique n'est jamais envoyée à l'API et est généralement transmise dans le lien lui-même, de sorte que nous ne pouvons jamais déchiffrer le secret nous-mêmes.

Si vous utilisez la page d'affichage du secret fournie par nous, vous devez également encoder la partie publique en Base64. Si vous utilisez une page d'affichage du secret auto-hébergée, vous pouvez utiliser la même méthode ou créer la vôtre. Veuillez consulter les Exemples d'API pour des implémentations de référence.

Format du texte chiffré

Le texte chiffré est un objet JSON, encodé en Base64 :

{
  "cipher": "<Base64 encoded AES-GCM ciphertext>",
  "iv": "<Base64 encoded 12-byte initialization vector>",
  "salt": "<Base64 encoded 16-byte PBKDF2 salt>",
  "iter": 10000
}

Vous devez utiliser les paramètres suivants pour AES lors du cryptage du secret :

Ancien format SJCL (obsolète)

Déchiffrement des secrets

L'API Voir le secret renvoie le texte chiffré exactement tel qu'il a été stocké. Les secrets créés dans l'application web utilisent le format Web Crypto décrit ci-dessus. Les secrets créés par d'anciens clients de l'API, par l'extension Chrome ou par des liens encore non ouverts peuvent utiliser l'ancien format SJCL.

Une page d'affichage auto-hébergée doit prendre en charge les deux formats. Après avoir décodé le texte chiffré du Base64 vers JSON, vérifiez la présence d'une clé ct : si elle est présente, déchiffrez avec SJCL, sinon déchiffrez avec Web Crypto. Consultez l'exemple Voir le secret.

Créer un secret

Crée un secret chiffré et renvoie son ID. Le texte chiffré doit être créé comme décrit dans Chiffrement des secrets. Renvoie 201 Created en cas de succès.

Paramètres de la demande

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     -H "Content-Type: application/json" \
     -X POST https://password.link/api/secrets \
     -d '{
       "ciphertext": "eyJjaXBoZXIiOiJRc3hxsN3...aXRlciI6MTAwMDB9",
       "password_part_private": "ZmtnamJudmxha3dpZWpndXRu",
       "description": "Database credentials",
       "expiration": 24,
       "view_button": true,
       "max_views": 1
     }'

Exemple de réponse

{
  "data": {
    "id": "dT5g"
  },
  "metadata": {
    "secrets_total": 70,
    "secrets_usage": 25,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Le lien vers le secret est formé en combinant l'URL de la page d'affichage hébergée, l'ID du secret et la partie publique du mot de passe encodée en Base64 :

https://password.link/<id>/#<public password part, Base64>

Pièces jointes

Le téléversement d'une pièce jointe se fait en deux étapes : créez d'abord le secret avec les métadonnées de la pièce jointe (voir Créer un secret), puis chiffrez et téléversez la charge utile chiffrée de la pièce jointe vers l'URL de téléversement renvoyée.

Le contenu du secret et le contenu de la pièce jointe sont chiffrés séparément. Les deux utilisent des données AES-GCM compatibles Web Crypto, encodées en Base64, mais les champs de la charge utile sont encodés différemment : la charge utile du secret contient des champs encodés en Base64 et un champ iter, tandis que la charge utile de la pièce jointe contient des champs de chaînes binaires brutes.

Chiffrement de la pièce jointe

Avant le chiffrement, représentez le fichier sous forme d'URL de données :

data:<mime-type>;base64,<base64 file bytes>

Le mot de passe de chiffrement de la pièce jointe est la partie privée brute du mot de passe concaténée avec la partie publique brute (sans encodage Base64).

Chiffrez cette chaîne data URL avec AES-GCM en utilisant PBKDF2-SHA256, 10000 itérations, une clé dérivée de 256 bits, un sel aléatoire de 16 octets et un IV aléatoire de 12 octets. Stockez la charge utile chiffrée de la pièce jointe sous forme d'objet JSON, puis encodez la chaîne JSON en Base64 :

{
  "cipher": "<binary string>",
  "iv": "<binary string>",
  "salt": "<binary string>"
}

Téléversement du fichier chiffré

Lorsqu'une pièce jointe est incluse, la réponse de création du secret contient une cible de téléversement dans data.attachment.upload :

{
  "data": {
    "id": "dT5g",
    "attachment": {
      "file_name": "example.txt",
      "upload": {
        "url": "/api/secrets/dT5g/attachment",
        "fields": {},
        "metadata": {}
      }
    }
  },
  "metadata": {}
}

Téléversez le JSON chiffré encodé en Base64 en tant que text/plain via multipart/form-data vers le upload.url renvoyé. Ajoutez toutes les paires clé/valeur renvoyées dans upload.metadata ou upload.fields aux données du formulaire avant d'ajouter le fichier chiffré. Le champ du fichier chiffré doit être nommé file.

Pour les URL de téléversement Password.link, incluez la même clé API privée dans l'en-tête Authorization: ApiKey <key>. Les URL de téléversement direct vers le stockage, comme les URL S3 présignées, ne doivent recevoir que les champs de formulaire renvoyés et le champ file chiffré.

Voir le secret

Récupère le texte chiffré, la partie privée du mot de passe et d'autres détails d'un secret. Ce point de terminaison peut être utilisé pour créer une page personnalisée d'affichage du secret auto-hébergée qui ne charge aucun script ni autre ressource depuis notre service. Renvoie 200 OK en cas de succès.

Exemple de requête

curl -H "Authorization: ApiKey public_key_abcd" \
     https://password.link/api/secrets/dT5g

Exemple de réponse

{
  "data": {
    "id": "dT5g",
    "ciphertext": "eyJjaXBoZXIiOiJRc3hxsN3...aXRlciI6MTAwMDB9",
    "password_part_private": "ZmtnamJudmxha3dpZWpndXRu",
    "message": "Here are the credentials we talked about"
  },
  "metadata": null
}

Confirmer le Secret

Envoie la confirmation du destinataire pour un secret créé avec ack_required, et renvoie les mêmes données du secret que View Secret lorsque la confirmation est valide. Renvoie 200 OK en cas de succès.

Si une confirmation est requise, GET /api/secrets/<id> renvoie 403 Forbidden avec secret_status défini sur ack_required jusqu'à ce que ce point de terminaison soit utilisé.

Les données de confirmation invalides ou incomplètes renvoient également 403 Forbidden. Elles ne sont pas renvoyées comme des erreurs de validation.

Paramètres de la demande

Exemple de requête

curl -H "Authorization: ApiKey public_key_abcd" \
     -H "Content-Type: application/json" \
     -X POST https://password.link/api/secrets/dT5g/acknowledge \
     -d '{"ack_confirmed": true, "ack_signer_name": "Jane Doe"}'

Secrets de liste

Récupère une liste de secrets. Ne contient pas les textes chiffrés ni les parties privées des mots de passe, seulement les ID, les descriptions et autres informations similaires. Renvoie 200 OK en cas de succès.

Le nombre maximal de résultats renvoyés pour chaque requête est limité à 50. Vous pouvez contrôler le décalage avec le paramètre de requête facultatif offset, par exemple : /api/secrets?offset=50

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     https://password.link/api/secrets

Exemple de réponse

{
  "data": [
    {
      "id": "dT5g",
      "created_at": "2026-07-02T10:00:00.000Z",
      "message": "Here are the credentials we talked about",
      "description": "Database credentials",
      "view_button": true,
      "captcha": false,
      "password": false,
      "expiration": 24,
      "expired": false,
      "view_times": 1,
      "max_views": 1,
      "secret_folder_id": "5e976e6e-d205-4f58-8df9-5ac0048bc702",
      "views": [
        {
          "viewed_at": "2026-07-02T12:34:56.000Z",
          "viewed_by_ip": "192.0.2.10",
          "viewed_by_user_agent": "Mozilla/5.0 ..."
        }
      ]
    }
  ],
  "metadata": {
    "secrets_total": 70,
    "secrets_usage": 25,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Mettre à jour le Secret

Met à jour les paramètres pris en charge et les métadonnées d'un secret existant. Renvoie 204 No Content en cas de succès.

PATCH ne remplace pas le contenu chiffré du secret, ne renvoie pas les e-mails de livraison et ne crée pas de métadonnées de téléversement de pièce jointe. Utilisez Create Secret pour le texte chiffré, les parties du mot de passe, l'envoi du lien et les pièces jointes.

Les paramètres suivants peuvent être mis à jour, avec la même signification que dans Create Secret :

description, message, expiration, max_views, view_button, captcha, password, otp_email_recipient, otp_recipient, otp_sms_recipient, allowed_ips, allowed_locations, available_after, secret_folder_id, reply_enabled, ack_required, ack_mode, ack_phrase, ack_disclosure_text, ack_collect_name, ack_name_required, ack_collect_org

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     -H "Content-Type: application/json" \
     -X PATCH https://password.link/api/secrets/dT5g \
     -d '{"description": "Updated description", "otp_email_recipient": "recipient@example.com"}'

Supprimer le secret

Supprime un secret. Renvoie 200 OK en cas de succès.

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     -X DELETE https://password.link/api/secrets/dT5g

Exemple de réponse

{
  "data": null,
  "metadata": {
    "secrets_total": 69,
    "secrets_usage": 24,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Créer un dossier de Secrets

Crée un dossier de secrets. Renvoie 201 Created en cas de succès.

Paramètres de la demande

Exemple de réponse

{
  "data": {
    "id": "5e976e6e-d205-4f58-8df9-5ac0048bc702"
  },
  "metadata": {
    "secrets_total": 70,
    "secrets_usage": 25,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Lister les dossiers de Secrets

Récupère une liste de dossiers de secrets. Renvoie 200 OK en cas de succès.

Exemple de réponse

{
  "data": [
    {
      "id": "5e976e6e-d205-4f58-8df9-5ac0048bc702",
      "name": "Clients",
      "description": "Client credentials",
      "created_at": "2026-07-02T10:00:00.000Z",
      "updated_at": "2026-07-02T10:00:00.000Z"
    }
  ],
  "metadata": {
    "secrets_total": 70,
    "secrets_usage": 25,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Mettre à jour le dossier de Secrets

Met à jour le nom et la description d'un dossier de secrets. Accepte les mêmes paramètres que Create Secret Folder et renvoie 204 No Content en cas de succès.

Supprimer le dossier secret

Supprime un dossier de secrets. Renvoie 200 OK en cas de succès.

Créer une demande de secret

Crée une nouvelle demande de secret. Renvoie 201 Created en cas de succès.

Paramètres de la demande

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     -H "Content-Type: application/json" \
     -X POST https://password.link/api/secret_requests \
     -d '{"description": "Request for VPN credentials", "expiration": 48}'

Exemple de réponse

{
  "data": {
    "id": "5e976e6e-d205-4f58-8df9-5ac0048bc702"
  },
  "metadata": {
    "secrets_total": 70,
    "secrets_usage": 25,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Liste des demandes secrètes

Récupère une liste de demandes de secret. Renvoie 200 OK en cas de succès.

Le nombre maximal de résultats renvoyés pour chaque requête est limité à 50. Vous pouvez contrôler le décalage avec le paramètre de requête facultatif offset, par exemple : /api/secret_requests?offset=50

La réponse de liste n'inclut pas secret_allowed_emails ni secret_allowed_ips.

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     https://password.link/api/secret_requests

Exemple de réponse

{
  "data": [
    {
      "id": "5e976e6e-d205-4f58-8df9-5ac0048bc702",
      "description": "Request for VPN credentials",
      "message": "Please send me the VPN credentials",
      "expiration": 48,
      "limit": 1,
      "send_request_to_email": "request-recipient@example.com",
      "send_request_to_sms": "+358401234567",
      "send_to_email": "example@example.com",
      "secret_description": "VPN credentials",
      "secret_message": null,
      "secret_expiration": 24,
      "secret_max_views": 1,
      "secret_password": false,
      "template_id": null
    }
  ],
  "metadata": {
    "secrets_total": 70,
    "secrets_usage": 25,
    "secrets_allowance": 100,
    "secret_requests_total": 10,
    "secret_requests_allowance": 100
  }
}

Demande de suppression du secret

Supprime une demande de secret. Renvoie 200 OK en cas de succès.

Exemple de requête

curl -H "Authorization: ApiKey private_key_abcd" \
     -X DELETE https://password.link/api/secret_requests/5e976e6e-d205-4f58-8df9-5ac0048bc702