1. Le MCP : un connecteur pour les outils compatibles

Pour utiliser CrocoClick depuis un outil d’IA compatible, examinez le connecteur MCP disponible et les opérations qu’il expose. Pour un programme qui appelle directement un endpoint, utilisez l’API et le mode d’authentification documenté pour cet endpoint.

MCP, webhooks et API répondent à des besoins différents. Aucun de ces choix ne donne automatiquement accès à toutes les données ni ne dispense de contrôler les permissions et les opérations autorisées.

• Comment connecter CrocoClick à Claude (MCP)

• Comment connecter CrocoClick à ChatGPT et Codex (MCP)

2. Les Webhooks : échanger des événements

Les webhooks des automatisations permettent de recevoir ou d’envoyer un événement HTTP, selon le déclencheur ou l’action configuré. Ils peuvent notamment servir à :

• Relier un service externe capable d’émettre ou de recevoir le format HTTP attendu ;

• Réagir à des événements disponibles dans le parcours, avec un délai dépendant des systèmes concernés ;

• Éviter certains connecteurs supplémentaires lorsque les deux systèmes disposent déjà d’un contrat compatible.

3. Intégrations privées : authentifier des appels API

Les intégrations privées donnent à une application l’accès aux endpoints compatibles avec les scopes sélectionnés et le compte autorisé. L’application doit encore implémenter les échanges nécessaires.

Cette approche est idéale si vous souhaitez aller plus loin qu’une simple automatisation via webhooks et créer des échanges de données sophistiqués.

Qu'est-ce que les intégrations privées ?

Les intégrations privées offrent une solution sur-mesure pour :

• Générer des tokens d’intégration directement depuis votre interface,

• Restreindre précisément les permissions accordées à des développeurs ou des applications tierces,

• Appeler les endpoints compatibles avec le token et la version choisie. Les webhooks d’un workflow et les abonnements aux événements d’une application Marketplace sont des mécanismes distincts ; la création d’un token privé ne configure pas automatiquement un abonnement.

Intégrations privées vs Clés API

Intégrations privées :

• Sécurisées : Vous définissez des permissions spécifiques.

• Accès API : utilisez les endpoints qui acceptent ce type de jeton, avec leurs scopes et leur version documentés.

• Fonctionnalités étendues : Permettent une gestion fine de l’accès.

Clés API :

• Moins sécurisées : Accès complet à l’ensemble des données.

• Anciennes clés API : ce mécanisme historique est distinct des intégrations privées à scopes. Pour une nouvelle intégration, consultez le mode d’autorisation accepté par l’endpoint ; ne supposez pas qu’une clé API v1 puisse remplacer un token privé.

Intégrations privées vs Tokens OAuth2

Les intégrations privées se distinguent également des tokens OAuth2 de la manière suivante :

• Intégrations privées :

  • Générées directement depuis l’interface.

  • Tokens statiques qui ne se renouvellent pas automatiquement.

• Tokens OAuth2 :

  • Générés de manière programmatique via un échange de code.

  • L’access token OAuth a une durée de validité limitée, documentée à 24 heures dans la FAQ fournisseur. Utilisez la durée renvoyée et le flux de rafraîchissement ; ne confondez pas cette durée avec une expiration à minuit.

Comment utiliser les intégrations privées ?

Pour un endpoint qui accepte un token d’intégration privée, transmettez-le dans l’en-tête Authorization: Bearer …, avec les autres en-têtes requis. Vérifiez aussi le scope et la version.

Par exemple, pour récupérer un contact, vous pouvez effectuer une requête GET :

curl --request GET \
  --url 'https://services.leadconnectorhq.com/contacts/CONTACT_ID_DE_TEST' \
  --header 'Accept: application/json' \
  --header 'Authorization: Bearer VOTRE_TOKEN_PRIVE' \
  --header 'Version: 2021-07-28'

Qui peut créer des intégrations privées ?

La création et la gestion d’une intégration privée dépendent des permissions et de la disponibilité de la fonction sur le compte concerné. La présence d’un rôle « administrateur » ne constitue pas ici une validation de ses droits effectifs.

Faites confirmer les permissions de votre utilisateur dans la gestion d’équipe si la rubrique n’apparaît pas. Ce guide décrit le mécanisme du token ; il ne valide pas un changement de droits.

Où trouver et créer vos intégrations privées ?

Ouvrez les Paramètres du compte concerné, puis Intégrations privées / Private Integrations. Si cette rubrique n’apparaît pas, vérifiez les permissions de votre utilisateur et la disponibilité de cette fonction sur le compte. Pour créer une intégration :

1. Cliquez sur Créer une nouvelle intégration.

2. Donnez-lui un nom et une description pour faciliter son identification.

3. Sélectionnez les scopes/permissions nécessaires.

4. Copiez le token dans le gestionnaire de secrets de l’application qui l’utilise. Ne l’insérez pas dans une page publique, une capture, un dépôt de code ou une conversation avec un assistant.

Bonnes pratiques pour sécuriser votre token

Pour limiter l’exposition du token :

• Prévoyez la rotation recommandée par le fournisseur, notamment tous les 90 jours, puis mettez à jour les applications qui utilisent le token. Une rotation planifiée et une révocation immédiate en cas de fuite sont deux procédures différentes.

• Ne partager le token qu’avec des développeurs ou partenaires de confiance.

• Veiller à ce que les permissions accordées soient strictement nécessaires.

En cas de compromission de votre token

Si vous suspectez une compromission de votre token :

1. Rendez-vous dans Private Integrations via les Settings.

2. Sélectionnez l’intégration concernée et l’option Rotate and expire this token now (faire expirer immédiatement l’ancien token). La rotation planifiée Rotate and expire this token later laisse, elle, une période de coexistence : ne la choisissez pas par défaut pour un secret compromis.

3. Suivez les instructions pour générer un nouveau token et mettez à jour vos applications tierces.

Modification des permissions sans changer le token

Il est possible de modifier le nom, la description et même les permissions d’une intégration privée sans pour autant régénérer le token. Pour ce faire, :

1. Accédez à l’option Modifier via le menu à trois points de l’intégration.

2. Mettez à jour les informations nécessaires puis validez les modifications.

Suppression d'une intégration privée

Lorsque l’intégration n’est plus nécessaire :

1. Accédez à Private Integrations dans les Settings.

2. Sélectionnez l’option Supprimer dans le menu à trois points pour supprimer définitivement l’intégration.

Pour plus de détails techniques sur la création et la gestion des intégrations privées, vous pouvez consulter la documentation officielle de l’API CrocoClick : https://marketplace.leadconnectorhq.com/docs/

Conclusion

Choisissez le mécanisme selon votre besoin : événement HTTP dans un workflow, appels directs d’API ou opérations proposées par un connecteur MCP.

Pour les appels directs, limitez le token aux scopes nécessaires et contrôlez les réponses de chaque endpoint.

La configuration d’un token ou d’une URL ne prouve pas qu’une synchronisation fonctionne. Vérifiez séparément l’authentification, les données échangées et le traitement attendu dans l’application réceptrice.

Vérifier la première requête

1. Choisissez un contact de test appartenant au compte autorisé par le token. Remplacez CONTACT_ID_DE_TEST par son identifiant.

2. Pour cet exemple de lecture, accordez le scope contacts.readonly. Un token valide ne donne pas automatiquement accès à tous les endpoints.

3. Remplacez le secret uniquement dans votre environnement d’exécution. L’en-tête doit garder le préfixe Bearer, suivi d’une espace et du token.

4. Exécutez la requête et vérifiez l’identifiant du contact renvoyé. Pour une autre opération, consultez sa documentation : méthode, scope, paramètres et en-tête Version peuvent différer.

Un locationId demandé par un endpoint doit correspondre au compte autorisé. Modifier cet identifiant ne permet pas d’étendre les permissions du token.

Version de l’API et première requête

L’exemple ci-dessus utilise explicitement la version 2021-07-28. La documentation peut aussi présenter une version plus récente : conservez ensemble la méthode, le chemin, les paramètres et l’en-tête Version du même endpoint. Ne changez pas uniquement l’en-tête d’une intégration existante sans test.

Le token doit appartenir au compte qui possède le contact. Le scope de lecture est contacts.readonly. Une erreur 401 invite à contrôler le token et le préfixe Bearer ; une 403, les permissions et le compte ; une 429, les limites de débit. Utilisez un contact de démonstration et ne transmettez jamais votre token au support ou dans une conversation.

Référence de l’exemple : Get Contact, version 2021-07-28. La page non versionnée présente actuellement une autre version ; ne mélangez pas les deux contrats.