Reliez votre boutique et vos outils à Grapify

Dans Grapify : Réglages → Connexions → Intégrations → API Grapify → « Créer une clé ». Cochez « Autoriser aussi l'envoi de données » pour envoyer des clients et des commandes. La clé ne s'affiche qu'une fois.

Ajoutez l'en-tête Authorization: Bearer suivi de la clé. Elle agit avec les droits de la personne qui l'a créée : un collaborateur ne voit par l'API que ce qu'il voit à l'écran.

Appelez /ping : la réponse dit si la clé est valide et si elle peut écrire.

curl https://hdwcgplfjkofvytvibap.supabase.co/functions/v1/api/v1/ping \
  -H "Authorization: Bearer grp_live_xxxxxxxx"

{ "ok": true, "can_write": true }

curl -X PUT https://hdwcgplfjkofvytvibap.supabase.co/functions/v1/api/v1/customers \
  -H "Authorization: Bearer grp_live_xxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "email": "achats@epicerie-du-parc.be",
    "name": "Épicerie du Parc",
    "company_name": "Épicerie du Parc SRL",
    "vat_number": "BE 0412.345.614",
    "phone": "+32 81 00 00 00",
    "billing_address":  { "line1": "Rue du Parc 12", "postal_code": "5000", "city": "Namur", "country": "BE" },
    "shipping_address": { "line1": "Rue du Parc 12", "postal_code": "5000", "city": "Namur", "country": "BE" }
  }'

201 { "created": true, "customer": { "id": "8f1c…", "email": "achats@epicerie-du-parc.be", … } }

curl -X POST https://hdwcgplfjkofvytvibap.supabase.co/functions/v1/api/v1/orders \
  -H "Authorization: Bearer grp_live_xxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{
    "external_ref": "SHOP-1001",
    "customer": { "email": "achats@epicerie-du-parc.be", "name": "Épicerie du Parc" },
    "prices_include_vat": true,
    "lines": [
      { "sku": "SOUPE-POTIRON-1L",    "quantity": 6, "unit_price": 5.30, "vat_rate": 6 },
      { "sku": "SOUPE-POTIRON-1L-X6", "quantity": 2, "unit_price": 30.00, "vat_rate": 6 }
    ],
    "shipping": { "amount": 6.05, "vat_rate": 21, "method": "bpost" },
    "total_incl_vat": 97.85,
    "payment_status": "paid"
  }'

201 {
  "created": true,
  "order": { "order_number": "CMD-2026-0412", "external_ref": "SHOP-1001", "status": "confirmed", "total": 97.85, … },
  "warnings": []
}

curl -X POST https://hdwcgplfjkofvytvibap.supabase.co/functions/v1/api/v1/orders/SHOP-1001/status \
  -H "Authorization: Bearer grp_live_xxxxxxxx" \
  -H "Content-Type: application/json" \
  -d '{ "status": "shipped", "tracking_number": "323212345678", "carrier": "bpost" }'

200 { "applied": true, "order": { "status": "shipped", "tracking_number": "323212345678", … }, "messages": [] }

external_ref (le numéro de commande de votre boutique) est obligatoire. Renvoyer la même commande rend celle déjà créée, sans la modifier. Côté clients, c'est l'e-mail qui sert de clé.

Grapify garde les prix de votre boutique : envoyez-les hors TVA, ou TVA comprise avec prices_include_vat. Le taux de TVA est obligatoire sur chaque ligne et sur les frais de livraison.

Grapify calcule les totaux comme sur sa facture. Si votre total TTC (total_incl_vat) diffère, la commande est créée quand même et la réponse le signale.

Un SKU peut être la référence d'un produit (quantité en pièces) ou celle d'une unité de vente (quantité en cartons, par exemple). Un SKU inconnu ne bloque rien : la commande arrive en brouillon, à relire dans Grapify.

Confirmée si elle est déjà payée, en attente sinon. Elle se prépare ensuite dans Grapify comme toute commande : lots, préparation, bon de livraison.

Expédiée n'est appliquée que si la commande est prête dans Grapify (lots choisis) ; le n° de suivi est noté dans tous les cas. Une annulation remet le stock sur ses lots. Un remboursement est noté : l'avoir se fait dans Grapify.

Elle est faite par Grapify, avec ses lots, sa comptabilité et l’envoi Peppol pour les clients professionnels. Pour éviter une double facture, désactivez la facturation dans votre boutique pour ces commandes.

Dans la carte API Grapify, bloc « Notifications vers votre boutique ». L'adresse doit commencer par https:// et être publique. Grapify vous montre une seule fois le secret de signature (whsec_…).

Chaque appel porte l'en-tête Grapify-Signature : t (horodatage) et v1 (HMAC-SHA256 de « t.corps » avec votre secret). Refusez un appel dont la signature ne correspond pas ou trop ancien.

Répondez par un code 2xx en moins de 10 secondes. Sinon Grapify réessaie après 1 min, 5 min, 30 min, 2 h, 6 h, 12 h et 24 h. Grapify-Delivery identifie chaque notification : servez-vous-en pour ignorer un doublon.

POST https://shop.example.com/hooks/grapify
Grapify-Event: order.updated
Grapify-Delivery: 5b0e…
Grapify-Signature: t=1793095200,v1=6f2c…

{
  "id": "5b0e…",
  "event": "order.updated",
  "occurred_at": "2026-10-27T10:00:00Z",
  "order": {
    "order_number": "CMD-2026-0412", "external_ref": "SHOP-1001",
    "status": "shipped", "payment_status": "paid", "shipping_status": "shipped",
    "tracking_number": "323212345678", "total": 97.85, "currency": "EUR"
  },
  "previous": { "status": "ready", "payment_status": "paid", "shipping_status": "pending", "tracking_number": null }
}

// Node.js: check that a notification really comes from Grapify
import crypto from "node:crypto";

function isFromGrapify(rawBody, signatureHeader, secret) {
  const parts = Object.fromEntries(signatureHeader.split(",").map((p) => p.split("=")));
  const expected = crypto.createHmac("sha256", secret).update(`${parts.t}.${rawBody}`).digest("hex");
  const fresh = Math.abs(Date.now() / 1000 - Number(parts.t)) < 300; // 5 minutes
  return fresh && crypto.timingSafeEqual(Buffer.from(expected), Buffer.from(parts.v1 ?? ""));
}

401 {
  "error": { "code": "invalid_api_key", "message": "Invalid, revoked or expired API key." }
}