Sixto API : les mêmes actions et autorisations que votre équipe
L’API Sixto expose les mêmes actions que l’application : tâches, dossiers, rapports et messages, avec des clés n’ayant que les portées que vous leur attribuez. Chaque appel figure dans le journal d’activité de la clé. Une clé peut vérifier son identité et ses actions autorisées. Les actions sensibles attendent une confirmation humaine.
Disponible. Une API REST versionnée avec des clés à portée limitée couvre réservations, clients, tâches, finances, enregistrement d’arrivée, serrures, canaux et plus encore.
Vos outils, un accès limité
Les clés API reçoivent uniquement les autorisations de votre choix
Ce que fait l’intégration
Sachez quelles données circulent et lesquelles restent en place
Les flèches indiquent le sens de circulation des données par rapport à Sixto.
Couverture étendue
Tâches, réservations, clients, avis, messages, enregistrement d’arrivée, conformité, serrures, canaux, factures électroniques, banque et grand livre, comparaisons de marché, recherche et paramètres.
Clés à portée limitée issues d’un même catalogue d’autorisations
Les clés utilisent le même catalogue d’autorisations que les personnes. Pour changer les autorisations, une personne ayant le rôle Propriétaire crée une clé de remplacement et révoque l’ancienne. La révocation prend effet au prochain appel.
Autodescriptive
Demandez à l’API qui vous êtes et ce que vous pouvez faire (whoami et capabilities), avec les autorisations requises pour chaque route.
Nouvelles tentatives sûres et journal d’activité
Chaque écriture documente son identifiant de nouvelle tentative, comme external_id ou l’en-tête Idempotency-Key, et renvoie 409 si le même identifiant est réutilisé avec un contenu différent. Chaque requête a un identifiant et figure dans le journal d’activité.
Des limites équitables
Chaque clé possède son quota, par défaut 600 requêtes par minute, afin qu’une clé très sollicitée n’en ralentisse pas une autre. GET /api/v1/capabilities indique la valeur actuelle.
Vous préférez une application d’IA ? Utilisez MCP
En plus de l’API REST, Sixto propose un serveur MCP pour les applications d’IA, avec authentification OAuth, désactivé tant qu’une personne ayant le rôle Propriétaire ou Gestionnaire de l’organisation ne l’active pas, ainsi qu’un MCP de documentation public en lecture seule.
- Adresse du serveur
https://holasixto.com/mcp- MCP de documentation
https://holasixto.com/mcp/docsPublic et en lecture seule. Il recherche dans la documentation de Sixto et n’accède jamais aux données de votre organisation.
Comment ça marche
- 01
Une personne ayant le rôle Propriétaire crée une clé dans Paramètres et coche les autorisations nécessaires. La clé n’est affichée qu’une fois.
- 02
Envoyez-la comme jeton Bearer. Appelez whoami et capabilities pour voir ce que la clé peut faire.
- 03
Lisez ou écrivez via les points d’accès. Les écritures passent les mêmes contrôles que dans l’application.
- 04
Suivez les appels dans la vue d’activité API et révoquez une clé quand vous le souhaitez.
Données synchronisées
Questions fréquentes
Existe-t-il un guide pour développeurs ?
Oui. La référence OpenAPI 3.1 se trouve à /api/v1/openapi.json et le guide client à /api/v1/guide.json. Chaque opération indique x-contract-status : complete signifie un contrat vérifié ; unsupported signifie que la route reste disponible, mais hors du périmètre client pris en charge. Un serveur de documentation en lecture seule est disponible à /mcp/docs.
Pour qui une clé agit-elle ?
Une clé agit pour l’organisation dans ses propres autorisations. Elle n’a pas de liste d’établissements propre et n’hérite pas des limites d’établissement de son créateur. Lorsque Sixto transmet la demande d’une personne avec une délégation Sixto-On-Behalf-Of, les limites actuelles d’accès aux établissements et d’autorisation de cette personne s’appliquent aussi.
Comment modifier les autorisations d’une clé ?
Créez une clé de remplacement avec les autorisations souhaitées, faites utiliser cette clé par votre outil, puis révoquez l’ancienne. Les clés existantes ne sont pas modifiables. Une clé révoquée est refusée au prochain appel.
Que signifient 422 et 429 ?
422 indique un échec de validation : lisez l’objet errors par champ, corrigez l’entrée et renvoyez-la. 429 indique que la clé a atteint sa limite : attendez le nombre de secondes de l’en-tête Retry-After, puis réessayez avec des délais croissants. Conservez le X-Request-Id pour retrouver l’appel dans le journal d’activité.
Une clé peut-elle déverrouiller une porte ?
Non. Le déverrouillage à distance n’est jamais disponible via l’API.
L’API est-elle versionnée ?
Oui, elle se trouve sous /api/v1.