Votre logiciel s'ouvre sur vos autres outils. Votre CRM, votre compta, votre LMS, vos automatisations, vos assistants IA : un outil qui sait appeler une API ou recevoir un webhook se branche sur votre espace. Voici les routes, les permissions et les exemples.
L'API REST sert les logiciels. Le serveur MCP sert les assistants IA. Les deux appellent les mêmes fonctions, avec la même clé et les mêmes permissions. Les webhooks et le connecteur HubSpot, eux, font parler votre espace de lui-même, à chaque événement.
Dans l'administration, écran Intégrations, « Nouvelle clé » : le nom de l'outil, ses permissions, sa durée de validité. Le secret s'affiche une seule fois. Vous révoquez la clé au même endroit, avec effet immédiat.
# La clé se passe dans l'en-tête Authorization
curl -s https://votre-espace/api/v1/moi \
-H "Authorization: Bearer $CLE"
# Les clés commencent par s4mk_ : les détecteurs
# de secrets les reconnaissent.Sept permissions, appelées portées. Une clé ne voit que ce que vous avez coché : la lecture des dossiers, qui contient des noms d'apprenants, n'est jamais cochée par défaut.
organisme:lectureIdentité publique : raison sociale, SIRET, numéro de déclaration d'activité, certificat Qualiopi, référent handicap.
catalogue:lectureFormations, certifications RS et RNCP.
sessions:lectureSessions disponibles à la vente : seulement le vendable, sans réservation ni nom d'apprenant.
Cochée par défautqualite:lectureIndicateurs de résultats, BPF, pilotage : des chiffres agrégés.
dossiers:lectureDossiers : statut, étape, avancement, pièces manquantes, noms des apprenants.
Jamais cochée par défautleads:ecritureDéposer une demande de contact dans la boîte de réception.
Écritureeditorial:lectureCalendrier éditorial des réseaux sociaux.
Non cochée par défaut13 en lecture, 1 en écriture. La documentation lisible de chaque route est sur la page Documentation de l'API ; la description complète, au format OpenAPI 3.1, est publiée à l'adresse /api/v1/openapi.json de votre espace : Make, Zapier, n8n et Postman l'importent telle quelle.
| Méthode | Chemin | Portée | Ce que vous obtenez |
|---|---|---|---|
| GET | /api/v1/organisme | organisme:lecture | Identité publique de l'organisme |
| GET | /api/v1/formations | catalogue:lecture | Catalogue des formations |
| GET | /api/v1/sessions | sessions:lecture | Sessions disponibles à la vente |
| GET | /api/v1/organisme/identite | organisme:lecture | Design system de l'organisme |
| GET | /api/v1/organisme/dossier-documentaire | organisme:lecture | Dossier documentaire de l'organisme |
| GET | /api/v1/certifications | catalogue:lecture | Certifications RS / RNCP de l'organisme |
| GET | /api/v1/dossiers | dossiers:lecture | Dossiers de formation |
| GET | /api/v1/dossiers/{id} | dossiers:lecture | Un dossier |
| GET | /api/v1/indicateurs | qualite:lecture | Indicateurs de résultats |
| GET | /api/v1/bpf | qualite:lecture | Bilan pédagogique et financier calculé |
| GET | /api/v1/pilotage | qualite:lecture | Pilotage |
| GET | /api/v1/editorial/calendrier | editorial:lecture | Calendrier éditorial des réseaux sociaux |
| POST | /api/v1/leads | leads:ecriture | Déposer une demande de contact dans la boîte de réception de l'organisme |
| GET | /api/v1/moi | toute clé | La clé utilisée |
# Lire cinq dossiers
curl -s "https://votre-espace/api/v1/dossiers?limite=5" \
-H "Authorization: Bearer $CLE"# Déposer un prospect venu de votre CRM
curl -s -X POST https://votre-espace/api/v1/leads \
-H "Authorization: Bearer $CLE" \
-H "content-type: application/json" \
-d '{"prenom":"Paul","nom":"Durand",
"email":"paul@exemple.fr",
"objectif":"Formation Excel",
"source":"HubSpot"}'Les erreurs reviennent en JSON, avec un message en français et un code stable : 401, 403, 404, 400 ou 429. Un 429 porte l'en-tête Retry-After.
{
"erreur": "message en français",
"code": "non_authentifie | interdit | introuvable | invalide | trop_de_requetes"
}Un assistant compatible MCP (Claude Desktop, Claude Code, Cursor et d'autres) se branche à l'adresse /mcp de votre espace, avec la même clé. Il n'annonce que les outils permis par cette clé.
Des demandes que vous pouvez lui faire : « Quels dossiers sont bloqués et pourquoi ? », « Résume le BPF 2026 », « Quel est notre taux de satisfaction publié ? », « Enregistre ce prospect rencontré au salon ».
{
"mcpServers": {
"quali4mation": {
"type": "http",
"url": "https://votre-espace/mcp",
"headers": { "Authorization": "Bearer s4mk_…" }
}
}
}Outils en lecture seule
Outil en écriture, qui n'envoie aucun e-mail
Vous donnez une adresse https et vous choisissez les événements. Chaque envoi est un POST JSON signé, au format Standard Webhooks. Le secret de signature s'affiche une seule fois.
| Événement | Quand |
|---|---|
dossier.cree | Création d'un dossier |
dossier.etape_changee | Toute transition du pipeline |
dossier.valide | Validation par l'organisme |
piece.signee | Signature en ligne d'une pièce |
financement.accorde | Accord de financement enregistré |
financement.refuse | Refus de financement enregistré |
message.recu | Message de la boîte de réception (site vitrine, API) |
| En-tête | Contenu |
|---|---|
webhook-id | Identifiant de l'événement, identique à chaque tentative : dédoublonnez dessus. |
webhook-timestamp | Horodatage Unix, en secondes, de la tentative. |
webhook-signature | v1,<base64> : HMAC-SHA256 de {webhook-id}.{webhook-timestamp}.{corps brut}. |
x-s4m-evenement | Type de l'événement. |
{
"id": "evt_3f1c…",
"type": "dossier.etape_changee",
"version": "2026-11-13",
"cree_le": "2026-11-13T09:12:44.120Z",
"organisme": { "id": "of-…" },
"test": false,
"donnees": {
"dossier": { "id": "…", "reference": "ADF-2026-0042",
"etape": "B", "sous_statut": "dossier_valide" },
"de": { "etape": "A", "sous_statut": "en_cours_validation" },
"vers": { "etape": "B", "sous_statut": "dossier_valide" },
"action": "valider_dossier"
}
}Référence fictive. Aucune coordonnée d'apprenant n'entre dans un événement.
Recalculez la signature sur le corps brut, comparez à temps constant, refusez un horodatage de plus de cinq minutes, ignorez un identifiant déjà traité. Les bibliothèques Standard Webhooks le font en une ligne ; voici l'équivalent en Node, sans dépendance.
import { createHmac, timingSafeEqual } from "node:crypto";
function verifier(secret, entetes, corpsBrut) {
const id = entetes["webhook-id"],
ts = Number(entetes["webhook-timestamp"]);
if (Math.abs(Date.now() / 1000 - ts) > 300) return false; // rejeu
const cle = Buffer.from(secret.replace(/^whsec_/, ""), "base64");
const attendu = Buffer.from(`v1,${createHmac("sha256", cle)
.update(`${id}.${ts}.${corpsBrut}`).digest("base64")}`);
return entetes["webhook-signature"].split(" ").some((s) =>
s.length === attendu.length &&
timingSafeEqual(Buffer.from(s), attendu));
}Ce qui est prêt à l'emploi, ce qui passe par une automatisation, et ce qui demande un peu de développement.
Connecteur HubSpot : à la création d'un dossier, l'entreprise, le contact du représentant et la transaction sont retrouvés ou créés. À chaque étape, la transaction avance. Les données des apprenants ne partent jamais.
Prêt à l'emploi : HubSpotUn autre CRM se branche par les webhooks et par POST /api/v1/leads.
Le BPF, le pilotage et les dossiers se lisent par l'API. Un webhook sur dossier.etape_changee peut ajouter une ligne dans un tableur de suivi des facturations.
Il n'existe pas de connecteur comptable prêt à l'emploi.
Catalogue, certifications et sessions à vendre se lisent par l'API ; le chatbot s'installe sur votre site avec une ligne de code. La création de dossiers par l'API est à venir.
Par l'APIQuali4mation n'héberge pas de modules SCORM : votre LMS reste votre LMS.
L'écran Intégrations, capturé dans un espace d'essai. Dans l'essai, HubSpot est connecté en simulation : vous voyez les appels qui partiraient, sans compte HubSpot.
Un scénario Make, de bout en bout. Zapier et n8n se branchent de la même façon.
Un module « Custom webhook » vous donne une adresse https.
Intégrations, « Nouveau webhook » : cette adresse, les événements financement.accorde et dossier.etape_changee.
« Envoyer un événement de test » : Make apprend la structure, sur des données fictives.
Un message à l'équipe à chaque accord ; une ligne dans un tableur à chaque fin de formation.
Un logiciel standard ne colle jamais à 100 % à un organisme. Le vôtre peut recevoir ses spécificités, sans que votre espace devienne un cas à part que plus personne ne sait mettre à jour.
Chaque client dispose de son propre dépôt de code : vos évolutions y vivent, et le lien de votre code vous est transmis.
Chaque demande d'évolution est suivie par ticket : vous décrivez ce que vous voulez changer, et la demande est tracée.
Un quota de spécificités est prévu selon votre formule ; il est précisé dans votre devis. Au-delà, nous en parlons ensemble. Aucun délai n'est annoncé avant un devis.
Vous voulez savoir ce qu'une évolution recouvre dans votre cas ? Prendre rendez-vous (ouvre la prise de rendez-vous dans un nouvel onglet)
Non. L'API REST, le serveur MCP, les webhooks et le connecteur HubSpot sont compris dans l'abonnement.
Une seule chose : déposer une demande de contact (un prospect) dans votre boîte de réception. Tout le reste est en lecture. La création de dossiers, d'apprenants et le dépôt de pièces par l'API sont prévus pour une version suivante.
Le seul connecteur prêt à l'emploi est HubSpot. Pour les autres outils, le branchement passe par l'API REST (que tout outil ou automatisation sachant appeler une API peut lire) ou par les webhooks, que Make, Zapier et n8n savent recevoir. Il faut donc un scénario d'automatisation ou un peu de développement.
Non. Les outils MCP sont en lecture seule, à l'exception de la création d'un prospect, qui n'envoie aucun e-mail. Et l'assistant ne voit que les outils permis par la clé que vous lui donnez.
Non. Aucune coordonnée (nom, prénom, e-mail, téléphone, adresse) n'entre dans un événement. Un outil qui a besoin de plus lit l'API avec une clé et une permission explicite.
Votre travail n'est jamais bloqué : les envois partent en arrière-plan. Un envoi en échec est réessayé, cinq tentatives au total, puis abandonné et signalé dans l'écran Intégrations.
Dans votre espace d'essai, l'écran Intégrations est ouvert : clé d'API, webhook de test, HubSpot en simulation. Vous voyez ce qui part, et ce qui ne part jamais.