Politiques

Politiques de l'API

Comment la Data API est versionnée, comment les dépréciations sont annoncées et combien de temps elles durent, et comment signaler un problème de sécurité.

Versionnement

L'API est versionnée dans le chemin : chaque endpoint vit sous /api/v1. Le champ info.version du contrat (actuellement 1.1.0) suit le changelog : le numéro mineur augmente quand quelque chose est ajouté, le numéro de patch quand quelque chose est corrigé, et une nouvelle version de chemin (/api/v2) est la seule façon de livrer un changement cassant.

Les huit SDK officiels suivent l'API : un nouvel endpoint donne une version mineure du SDK, un endpoint supprimé ou renommé une version majeure.

Ce qui constitue un changement cassant

Ceci n'arrive jamais au sein d'une version de chemin :

Supprimer ou renommer un endpoint, un paramètre de requête ou un champ de réponse.
Changer le type d'un champ, ou la règle selon laquelle les prix, taux et offres sont des chaînes décimales.
Changer l'enveloppe { data, meta }, l'enveloppe d'erreur ou la signification d'un code d'erreur existant.
Abaisser une limite de débit ou un quota dont un forfait dispose déjà.

Ceci peut arriver à tout moment et est annoncé dans le changelog :

De nouveaux endpoints, paramètres de requête et champs de réponse.
De nouveaux codes d'erreur pour de nouvelles situations - comparez toujours sur error.code, jamais sur le message.
De nouvelles valeurs dans les listes que la référence indique comme pouvant s'étendre, comme les noms d'événements et d'indicateurs.
Des limites et quotas plus élevés.

Dépréciation

Quand la suppression d'un endpoint, d'un paramètre ou d'un champ est planifiée, elle est annoncée dans le changelog et par e-mail à chaque titulaire de clé, et dès ce jour l'endpoint répond avec les en-têtes Deprecation et Sunset (RFC 9745, RFC 8594) indiquant la date de suppression. Le contrat OpenAPI le signale avec deprecated: true.

La suppression intervient au plus tôt six mois après l'annonce. Une nouvelle version de chemin tourne en parallèle de la précédente pendant au moins six mois avant que l'ancienne ne soit retirée de la même manière.

Rien n'est actuellement déprécié ni planifié pour suppression.

Limites et usage raisonnable

Les limites de rafale par minute et les quotas mensuels font partie de votre forfait, sont rapportés sur chaque réponse dans les en-têtes X-RateLimit-* et X-Quota-* et documentés dans la référence. Relever une limite n'est jamais cassant ; en abaisser une au sein d'un forfait l'est, et suit le calendrier de dépréciation.

Divulgation responsable

Si vous pensez avoir trouvé une faille de sécurité dans bitculator.com, la Data API, le serveur MCP ou les SDK, écrivez à contact@bitculator.com en indiquant l'URL ou l'endpoint concerné, les étapes pour reproduire et l'impact constaté. Vous recevrez une réponse sous trois jours ouvrés.

Merci de garder le rapport confidentiel jusqu'à la correction, de ne pas accéder à des données qui ne sont pas les vôtres ni les modifier, et de ne lancer ni déni de service ni scan automatisé contre la production. Les signalements faits de bonne foi dans ces conditions ne feront l'objet d'aucune poursuite. Il n'existe pas de programme de bug bounty rémunéré ; un crédit est accordé sur demande.

Le même contact est publié sous forme lisible par machine sur /.well-known/security.txt (RFC 9116).

Statut et incidents

Le statut en direct des composants, les incidents en cours et les pannes des 30 derniers jours sont sur la page de statut et sur /status.json.