Authentification

Mis à jour le 2026-09-18 · équipe Suno-API

Toutes les requêtes vers Suno-API sont authentifiées par une clé d'API. Cette page couvre la création de la clé, son envoi, la signification des erreurs et sa sécurisation.

Qu'est-ce qu'une clé d'API

La clé est un jeton bearer lié à votre compte. Elle porte votre solde : quiconque possède la clé peut le dépenser. Elle n'est affichée qu'une seule fois à la création — copiez-la immédiatement et conservez-la en lieu sûr.

Créer une clé

1. Inscrivez-vous sur https://www.suno-api.io — une adresse e-mail suffit, sans téléphone.
2. Ouvrez la gestion des jetons dans la console.
3. Créez une clé et copiez-la.

Les clés ont la forme sk-…. Une clé perdue ne peut pas être récupérée : créez-en une autre et supprimez l'ancienne.

Utiliser la clé

Format de l'en-tête

Envoyez la clé dans l'en-tête Authorization de chaque requête :

Authorization: Bearer YOUR_API_KEY
Content-Type: application/json

Exemple

curl -X POST https://www.suno-api.io/api/music/create \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "un morceau de piano calme pour un café"}'

Erreurs d'authentification

401 Unauthorized

En-tête absent, mal formé, ou clé inexistante.

{
  "error": {
    "message": "Invalid API key provided",
    "type": "invalid_request_error",
    "code": "invalid_api_key"
  }
}

Vérifiez que l'en-tête est exactement Bearer <clé> (avec un espace après Bearer) et qu'aucun saut de ligne ne s'est glissé en fin de clé.

403 Forbidden

La clé existe mais n'est pas autorisée à effectuer cette requête — le plus souvent parce qu'elle a été désactivée ou que le compte est suspendu. Vérifiez l'état du compte dans la console et contactez le support si la raison n'est pas évidente.

Bonnes pratiques de sécurité

Ne mettez pas la clé dans du code côté client

N'intégrez jamais la clé dans une page web, une application mobile ou un binaire de bureau. Quiconque peut ouvrir les outils de développement peut la lire et dépenser votre solde. Appelez l'API depuis votre propre serveur et exposez votre endpoint à vos utilisateurs.

Utilisez des variables d'environnement

Linux / macOS

# ~/.bashrc ou ~/.zshrc
export SUNO_API_KEY="sk-your-key-here"

# Python
import os
api_key = os.environ["SUNO_API_KEY"]

.env

# fichier .env — à ajouter au .gitignore
SUNO_API_KEY=sk-your-key-here

Windows

setx SUNO_API_KEY "sk-your-key-here"

Node.js

require('dotenv').config();
const apiKey = process.env.SUNO_API_KEY;

Renouvelez la clé si nécessaire

Renouvelez les clés tous les 3 à 6 mois, et immédiatement en cas de fuite suspectée. Supprimez celles que vous n'utilisez plus : une clé inutilisée n'est qu'un risque inutilisé.

Limitation de débit

Les requêtes sont limitées par clé :

429 Too Many Requests

Au-delà d'une limite, l'API renvoie 429 et la réponse peut contenir une valeur retry_after en secondes. Attendez ce délai avant de réessayer ; ralentissez le rythme, mettez le travail en file d'attente ou réessayez avec un backoff exponentiel plutôt qu'en boucle serrée.

Politique de nouvelle tentative

Ne réessayez que sur un échec explicite. Ne réessayez pas après un timeout de lecture ou de connexion : les points d'accès de génération sont synchrones, donc un timeout peut signifier que la commande a déjà été acceptée et est en cours de génération — réessayer crée un doublon et facture deux fois. Réglez le timeout du client à 300 secondes ou plus et, après une coupure, vérifiez la commande avec GET /api/music/songs avant de la renvoyer. Voir « Temps d'attente et réglage du timeout » dans la Présentation de la nouvelle API.

Réessayez avec un backoff exponentiel plutôt qu'en boucle serrée :

import time

delay = 1.0
for attempt in range(5):
    response = call_api()
    if response.status_code != 429:
        break
    time.sleep(delay)
    delay *= 2

Questions fréquentes

Quel est le format d'une clé ?

Elle commence par sk- suivi de lettres et de chiffres, soit environ 50 à 60 caractères au total.

Puis-je appeler l'API depuis un navigateur ?

Techniquement oui, mais pas en production : la clé serait visible par tous les visiteurs. Passez par votre propre backend.

Comment vérifier qu'une clé est encore valide ?

Envoyez n'importe quelle requête authentifiée. 200 signifie qu'elle fonctionne ; 401 qu'elle est invalide ou supprimée.

J'ai perdu ma clé, que faire ?

Les clés ne sont pas récupérables. Créez-en une nouvelle dans la console et supprimez l'ancienne.

Combien de clés par compte ?

Il n'y a pas de limite fixe. Utilisez une clé par application ou environnement pour pouvoir les révoquer séparément, et supprimez celles dont vous ne vous servez plus.

Les clés expirent-elles ?

Elles restent valides jusqu'à suppression ou fermeture du compte. Un renouvellement régulier reste une bonne pratique.

Comment suivre la consommation ?

Connectez-vous à la console : l'usage par clé y est listé, avec le nombre de requêtes, les dépenses et les tâches récentes.

Pages liées

• Guide de démarrage rapide
• Modèles pris en charge