Les réponses courtes

Recevoir mes demandes dans un autre outil (webhook)

Studio → Réglages → Intégrations. Colle l'adresse « webhook » que te donne ton outil (Zapier « Catch Hook », Make « Custom webhook », n8n, ton propre serveur). À chaque nouvelle demande, FedLinck y envoie un POST en JSON :

{
  "evenement": "demande.recue",
  "livraison": "8f0c2d4e-…",
  "page": "tonpseudo",
  "demande": {
    "id": "…",
    "formulaire": "Demande de rendez-vous",
    "nom": "Marie",
    "email": "",
    "telephone": "+509 …",
    "message": "",
    "reponses": [
      { "question": "Jour souhaité", "reponse": "2026-10-02" },
      { "question": "Moment de la journée", "reponse": "Matin" }
    ],
    "source": "instagram",
    "campagne": { "utm_campaign": "rentree" },
    "qr": false,
    "pays": "HT",
    "appareil": "mobile",
    "cree_le": "2026-09-28T21:40:00+00:00"
  }
}

Ton outil doit répondre par un code 2xx en moins de 8 secondes. Sinon FedLinck réessaie après 1 min, 5 min, 30 min, 2 h et 12 h, puis abandonne ; l'historique des derniers envois est dans le Studio. Les redirections ne sont pas suivies, et les adresses internes (localhost, adresses IP privées) sont refusées. « Envoyer un test » envoie un événement test pour vérifier le branchement.

Chaque envoi porte aussi FedLinck-Evenement, FedLinck-Tentative et FedLinck-Livraison : un identifiant unique, qui reste le même quand un envoi est retenté. Ignore une livraison déjà reçue pour ne jamais traiter deux fois la même demande.

Vérifier qu'un envoi vient bien de FedLinck

L'en-tête FedLinck-Signature vaut t=<horodatage>,v1=<signature>. La signature est le HMAC-SHA256, en hexadécimal, de « horodatage, un point, puis le corps brut de la requête », avec ton secret whsec_… pour clé. Refuse un envoi dont la signature ne correspond pas, ou dont l'horodatage a plus de cinq minutes. En Node.js :

const crypto = require("crypto");

// entete = la valeur de FedLinck-Signature, corps = le corps BRUT reçu
function vientDeFedLinck(entete, corps, secret) {
  const p = Object.fromEntries(entete.split(",").map((x) => x.split("=")));
  const attendu = crypto.createHmac("sha256", secret)
    .update(p.t + "." + corps).digest("hex");
  const recent = Math.abs(Date.now() / 1000 - Number(p.t)) < 300;
  return recent && typeof p.v1 === "string" && p.v1.length === attendu.length
    && crypto.timingSafeEqual(Buffer.from(p.v1), Buffer.from(attendu));
}

« Changer le secret », dans le Studio, en crée un nouveau : l'ancien cesse aussitôt de signer.

Lire ma page, mes demandes et mes chiffres (API)

Studio → Réglages → Intégrations → « Créer une clé ». La clé (flk_…) ne s'affiche qu'une fois : garde-la comme un mot de passe, sur un serveur ou dans ton outil d'automatisation, jamais dans une page web. Elle donne un accès en lecture seule.

curl "https://fedlinck.fedtopup.com/api/v1/demandes?statut=nouveau&limite=20" \
  -H "Authorization: Bearer flk_…"

• GET /api/v1/page — ta page publique : profil, blocs, thème.
• GET /api/v1/demandes — tes demandes, les plus récentes d'abord. Filtres : statut (nouveau, lu, traite, archive, spam) et limite(1 à 500, 100 par défaut).
• GET /api/v1/statistiques — vues, visiteurs, clics, sources, campagnes. Période : du et au au format AAAA-MM-JJ (un an au plus ; les 30 derniers jours par défaut).

Les réponses sont en JSON : { "donnees": … }. En cas d'erreur : 401 clé absente ou révoquée, 400 paramètre invalide (la raison est dans la réponse), 429 plus de 120 requêtes par minute avec la même clé. Trois clés actives au plus ; une clé révoquée cesse de marcher tout de suite.