Se connecterLire la documentation

pm.builders · pour les DSI

Branchez vos systèmes sur chaque .pm.

Une API REST, une clé pour tous les .pm, des webhooks signés. Documentée en OpenAPI, limitée, tracée, hébergée en France. Vos données vont là où vous les envoyez, nulle part ailleurs.

Lire la documentation Télécharger openapi.json

L’API

Une clé, tous les .pm.

Une clé Bearer ouvre chaque espace, dans le périmètre exact du compte qui l’a créée : ses cartes, son équipe, son enseigne. Un espace de noms par application, une réponse JSON prévisible.

$ curl https://pm.builders/api/leads/get?since=2026-09-01T00:00:00Z \
  -H "Authorization: Bearer pmk_…"

HTTP/1.1 200 OK
X-RateLimit-Remaining: 119
{"data": [{"id": "c9e3…", "consent": true, …}], "total": 1}

Webhooks

Des événements, pas du polling.

Un consentement recueilli ou retiré, un lead suivi, une carte créée : votre système est prévenu au moment où ça arrive. Chaque envoi nomme son événement ; un envoi refusé est rejoué jusqu’à être accepté.

  • consent.addConsentement recueilli
  • consent.removeConsentement retiré
  • lead.updateSuivi commercial modifié
  • lead.actionAction sur un contact
  • card.addCarte créée
  • card.updateCarte modifiée
  • card.removeCarte mise à la corbeille
X-PM-Event
Le nom de l’événement, sur chaque envoi.
X-Consent-Signature
t=<horodatage>,v1=<HMAC-SHA-256> du corps exact, avec votre secret whsec_ : vous vérifiez l’origine et refusez les rejeux.
apikey · Authorization
Votre clé de réception, dans l’en-tête que votre passerelle attend.

Sécurité

Sûr par défaut, vérifiable par vous.

  1. 01

    Des clés qu’on ne peut pas relire

    Le secret s’affiche une seule fois ; nous n’en gardons que l’empreinte SHA-256. Lecture seule au choix, révocation immédiate, 10 clés actives par compte.

  2. 02

    Le périmètre du compte, rien de plus

    Une clé voit ce que voit son compte. Une donnée hors de son périmètre n’existe pas pour elle : réponse 404, jamais une fuite.

  3. 03

    Des limites annoncées

    120 lectures et 30 écritures par minute et par clé, 60 requêtes par minute et par IP ; une IP qui échoue dix fois en cinq minutes est bloquée. Chaque réponse donne son reste.

  4. 04

    Des preuves scellées

    Chaque consentement et chaque retrait est signé (HMAC-SHA-256) et conservé comme preuve ; l’API vous rend l’état courant, retraits compris.

Contrat

Un contrat stable, écrit une fois.

  • OpenAPI 3

    Chaque route décrite une seule fois : la documentation et openapi.json sortent de la même source.

  • Des erreurs qui se testent

    Toujours {"error": {"code", "message"}} : vous branchez votre logique sur un code stable, jamais sur un texte.

  • Idempotence

    Un en-tête Idempotency-Key rend un dépôt de consentement rejouable sans doublon.

  • Des corps stricts

    JSON seulement, 64 Ko au plus, champs inconnus refusés : ce que vous envoyez est ce qui est enregistré.

Vos données vont là où vous les envoyez. Nulle part ailleurs.

Hébergé et opéré en France par DATAMIX.IO · aucun traceur tiers

Prêt à brancher votre SI ?

L’API et les webhooks s’ouvrent avec consent.pm pour toute l’enseigne. Parlons de votre architecture.

Lire la documentationParler à un architecte