Accès et autorisation
Chaque application SP-API est enregistrée dans un profil développeur et demande des rôles, comme Inventory and Order Tracking ou Pricing. Les rôles déterminent les opérations que vous pouvez appeler. Ceux qui exposent des données personnelles d’acheteurs, comme les adresses de livraison, sont restreints et demandent une approbation supplémentaire.
Vendeurs et fournisseurs autorisent votre application via Login with Amazon (LWA). Vous conservez un refresh token par compte et l’échangez contre des access tokens de courte durée. Traitez les refresh tokens comme des mots de passe : chiffrez-les et tenez-les hors des journaux.
Les limites de débit façonnent l’architecture
Chaque opération a son propre plan d’utilisation : un débit continu et une marge de rafale. Au-delà, Amazon renvoie HTTP 429. Certaines opérations ajustent aussi les limites par compte, et les en-têtes de réponse indiquent le débit actuel.
- Placez chaque appel derrière une file avec un limiteur par compte et par opération.
- Relancez les réponses 429 et 5xx avec un délai exponentiel et du jitter, jamais en boucle serrée.
- Rendez les écritures idempotentes, pour qu’un flux ou une mise à jour relancés ne s’appliquent pas deux fois.
Rapports, flux et appels en direct
Toute question n’exige pas un appel en direct. La Reports API produit des fichiers en masse (par exemple toutes les offres, les règlements ou le stock FBA) de façon asynchrone : on demande le rapport, on attend qu’il soit prêt, puis on télécharge le document. Les API Feeds et Listings Items gèrent les écritures en masse et unitaires.
Une bonne règle : les rapports pour l’historique et la masse, les appels en direct pour les rares éléments qui doivent être exacts à la minute, comme une commande précise avant expédition.
Des notifications plutôt que du polling
La Notifications API envoie des événements tels que les changements de statut de commande, les changements de prix ou les rapports terminés vers une file Amazon SQS ou Amazon EventBridge. S’abonner supprime l’essentiel du polling, préserve le débit pour les appels qui en ont besoin et rend l’intégration plus réactive.
Données personnelles et conformité
La Data Protection Policy et l’Acceptable Use Policy d’Amazon s’appliquent à toute intégration. Les données personnelles des acheteurs ne sont renvoyées qu’avec un jeton de données restreintes propre à l’opération, ne peuvent être conservées que le temps nécessaire (en général pour l’expédition et la fiscalité) et doivent être chiffrées au repos.
En production
Journalisez chaque requête avec son opération, son compte et l’identifiant de requête Amazon. Alertez sur la hausse des 429, les rapports en échec et les files qui ne se vident plus. Suivez le calendrier de dépréciation de la SP-API : Amazon retire les anciennes versions à des dates annoncées, et en manquer une casse l’intégration le jour même.
Amazon a également introduit des frais pour les développeurs SP-API d’applications tierces. Vérifiez les conditions en vigueur dans la documentation développeur avant de budgéter.