Aucun bouton « API Key » à l’écran : la clé se trouve dans l’URL de téléchargement de Create-a-Feed
Vous voulez automatiser les flux produits Awin et vous lancez un script.
Le script demande la clé API du flux produits.
Très bien. Connexion à Awin, Toolbox, puis Create-a-Feed.
Et aucune clé API évidente.
Pas de gros bouton « API Key ». Pas de bloc « Credentials ». Pas de champ « Secret ».
À la place : nombre de produits, catégories, annonceurs, marques et « Feed List Download ».
Réaction parfaitement normale :
comment était-on censé deviner ça ?
Encore mieux : le guide du script dit de copier la valeur juste après /apikey/ dans l’URL de téléchargement.
Sauf que l’URL affichée par l’interface actuelle ne contient pas /apikey/.
La réunion d’incident commence immédiatement dans votre tête :
« Mauvaise page ? » « Pas les bonnes permissions ? » « Une autre API ? » « C’est quoi cette URL géante ? » « Pourquoi Node.js affiche aussi un avertissement ? » « Tout a cassé en même temps ? »
Non.
La data feed API key d’Awin pour les flux produits est distincte du token normal de la Partner API. La documentation officielle d’Awin indique que cette clé peut être obtenue depuis un téléchargement standard généré via Create-a-Feed. Dans un format d’interface observé en octobre 2026, cette clé apparaissait sans étiquette, directement comme segment du chemin de l’URL Feed List Download.
Une chasse au trésor, mais le trésor est un identifiant secret.
0. Version 30 secondes
Six points suffisent.
- Awin utilise une information d’authentification pour la Partner API et une autre data feed API key pour les flux produits.
- Elles sont différentes.
- La documentation officielle indique que la clé du flux peut être obtenue depuis un téléchargement standard créé dans Create-a-Feed.
- L’exemple officiel utilise une forme /apikey/KEY.
- Dans l’interface observée en octobre 2026, Feed List Download utilisait une autre structure et la clé était placée après le publisher ID.
- DEP0190 de Node.js est un avertissement distinct, pas une preuve d’échec de la clé Awin.
La clé n’est donc pas forcément absente.
Elle peut simplement ne pas être étiquetée.
1. Ce qui s’est réellement passé
Le script de configuration affichait uniquement les noms des secrets déjà enregistrés, jamais leur valeur, puis demandait les éléments manquants.
Le token Awin classique était déjà configuré.
Ensuite, le script a demandé la clé du flux produit.
L’instruction disait :
« Toolbox → Create-a-Feed → regardez l’URL de téléchargement → copiez ce qui suit /apikey/. »
Cette instruction n’était pas inventée.
La documentation Product Feed List Download d’Awin, mise à jour le 31 août 2026, présente un exemple en /apikey/KEY et précise que la download API key peut être obtenue depuis un flux standard créé avec Create-a-Feed.
Elle précise également que cette clé est différente de celle utilisée par la Partner API.
Le principe était juste.
La forme concrète de l’URL dans l’interface était le piège.
2. Le guide dit « après /apikey/ », mais /apikey/ n’existe pas
Une fois toutes les informations privées et la vraie clé retirées, la structure observée ressemblait à ceci :
https://ui.awin.com/productdata-darwin-download/publisher///1/feedList
Le détail qui compte :
il n’y a pas de /apikey/.
Guide : « juste après /apikey/. »
Réalité : « /apikey/ n’est pas venu travailler aujourd’hui. »
Dans le cas observé, le chemin suivait cet ordre :
publisher/ → publisher ID → data feed API key → 1/feedList
Il faut considérer cela comme un format observé en octobre 2026, pas comme une promesse de stabilité éternelle de l’URL Awin.
3. Le vrai piège : deux identifiants API
Identifiant Partner API
Utilisé pour l’authentification générale de la Partner API Awin.
Product feed data key
Utilisée pour télécharger les flux produits et leurs listes.
Awin distingue explicitement les deux dans sa documentation.
Donc penser « Le jeton de l’API Awin est déjà configuré, pourquoi faut-il encore une clé ? » est parfaitement logique.
Parce qu’il s’agit réellement d’une autre clé.
Des noms un peu plus différents auraient épargné beaucoup d’archéologie numérique.
4. Où regarder dans l’interface actuelle
Pour le format observé en octobre 2026 :
- Connectez-vous à Awin.
- Ouvrez Toolbox → Create-a-Feed.
- Repérez Feed List Download.
- Vérifiez que le lien appartient bien à un domaine officiel Awin.
- Ne collez pas l’URL complète dans un chat public, un article, une Issue ou un journal.
- Si l’URL suit la même structure, le segment immédiatement après publisher// correspond à la data feed key.
- Collez uniquement la valeur secrète nécessaire dans l’entrée masquée du script.
- Si rien ne s’affiche pendant la saisie, il peut simplement s’agir du comportement normal d’un champ secret ; validez avec Entrée.
Le point cinq est essentiel.
Une longue URL peut contenir un secret.
Une donnée d’authentification ne devient pas publique parce qu’elle se cache entre deux barres obliques.
5. Et DEP0190, alors ?
Le terminal peut afficher au même moment :
DEP0190: Passing args to a child process with shell option true...
Le timing est idéal pour semer la confusion.
Mais la documentation Node.js décrit DEP0190 comme un avertissement de dépréciation concernant execFile ou spawn avec un tableau d’arguments et shell:true. Les arguments ne sont pas échappés de manière sûre, ce qui peut créer un risque de shell injection.
Donc :
ce n’est pas une erreur d’authentification Awin.
Il est tout de même utile de corriger séparément le script : vérifier si shell:true est nécessaire et si des valeurs contrôlées par l’utilisateur arrivent dans ces arguments.
Mais ce n’est pas la preuve que la clé du flux est incorrecte.
6. Corriger les instructions, pas l’utilisateur
« Lisez mieux les URL » n’est pas une stratégie robuste.
Un meilleur assistant de configuration devrait :
- reconnaître le format documenté /apikey/ ;
- reconnaître aussi le format observé productdata-darwin-download/publisher///... ;
- ne jamais réafficher la clé extraite ;
- ne jamais journaliser l’URL complète contenant le secret ;
- s’arrêter face à une structure inconnue au lieu de deviner ;
- expliquer d’emblée que Product Feed key et Partner API token sont deux identifiants distincts.
Cela supprime une grande partie de la confusion à la source.
7. Conclusion
Cette histoire était difficile pour des raisons bien réelles :
- deux identifiants Awin similaires ;
- pas de champ évident réservé à la clé du flux ;
- des exemples de documentation qui peuvent différer de l’URL actuelle ;
- un secret caché dans une longue URL ;
- un avertissement Node.js sans rapport affiché au pire moment.
Il était donc parfaitement normal de ne pas comprendre au premier regard.
Pour la prochaine fois :
Product Feed key ≠ Partner API token. Regardez l’URL de téléchargement dans Create-a-Feed et ne considérez jamais une seule forme historique d’URL comme une règle éternelle.
Et surtout, ne publiez pas l’URL réelle après avoir enfin trouvé la clé.
C’est le boss final.
Sources
- [1] Awin Help — Product Feed List Download, 2026-08-31: https://help.awin.com/developers/docs/product-feed-list-download
- [2] Awin Help — Downloading feeds using Create-a-Feed, 2026-08-31: https://help.awin.com/developers/docs/downloading-feeds-using-create-a-feed
- [3] Awin Help — Product Feed Publisher Guide Overview: https://help.awin.com/developers/docs/product-feed-publisher-guide-intro
- [4] Node.js documentation — DEP0190: https://nodejs.org/download/release/latest-jod/docs/api/deprecations.html
Références (4)
- Awin Help — Product Feed List Download, 2026-08-31 help.awin.com
- Awin Help — Downloading feeds using Create-a-Feed, 2026-08-31 help.awin.com
- Awin Help — Product Feed Publisher Guide Overview help.awin.com
- Node.js documentation — DEP0190 nodejs.org
