Configurer les validations à deux signatairesVersion bêta privée

Les approbations permettent aux administrateurs d’exiger qu’une seconde personne examine les actions sensibles avant leur exécution. Les règles peuvent s’appliquer aux utilisateurs humains agissant via le Dashboard, la CLI ou MCP, ainsi qu’aux agents autonomes utilisant des clés API marquées comme agent via l’API, la CLI ou MCP.

Lorsqu’une action déclenche une règle d’approbation, l’action est interrompue et une requête d’approbation est créée. Un réviseur désigné approuve ou refuse la requête. Les actions approuvées sont exécutées automatiquement ; les actions refusées sont annulées sans modification.

Actions prises en charge

Vous pouvez exiger une validation pour les actions suivantes :

• Compte bancaire ajouté ou mis à jour
• Compte bancaire supprimé
• L’administrateur est invité sur le compte
• Le PaymentIntent est créé
• Facture créée
• Remboursement créé
• Abonnement créé
• Abonnement annulé
• L’avoir a été créé
• L’opération sur solde du client est créée

Créer une règle d’approbation

1. Accédez à Paramètres > Approbations.
2. Cliquez sur Créer une règle, puis sélectionnez l’action qui déclenche l’approbation. Seuls les membres de l’équipe disposant du rôle Administrateur peuvent créer ou modifier des règles d’approbation.
3. Facultativement, cliquez sur Ajouter une condition pour ajouter une ou plusieurs conditions de déclenchement. Par exemple, vous pouvez exiger une approbation pour un remboursement uniquement si le montant dépasse un certain seuil. Si vous ajoutez plusieurs conditions, vous pouvez choisir de les combiner à l’aide des opérateurs and ou or. Pour appliquer les règles d’approbation uniquement aux agents, et non aux actions effectuées manuellement dans le Dashboard, définissez Condition Client sur Agent.
4. Définir le contrôle :
   • Exiger une approbation : l’action est suspendue jusqu’à ce qu’un réviseur l’approuve.
   • Bloquer : l’action est rejetée immédiatement.
5. Choisissez qui peut vérifier les requêtes : des membres de l’équipe désignés individuellement ou l’ensemble des membres auxquels un rôle a été attribué, tel que celui d’Administrateur, d’Analyste ou de Spécialiste du service de support. Seuls les membres désignés individuellement reçoivent une notification par e-mail lorsqu’une action nécessite leur examen.
6. Facultativement, définissez des instructions de justification personnalisées à l’intention des personnes qui soumettent une requête. Elles s’affichent lorsqu’une action sensible est demandée afin de permettre la transmission d’une justification appropriée.
7. Vous pouvez également saisir un nom pour la règle.
8. Cliquez sur Activer pour enregistrer et activer immédiatement la règle, ou sur Enregistrer les modifications pour l’enregistrer comme inactive.

Vous pouvez à tout moment activer, désactiver ou supprimer des règles depuis la page des paramètres des validations. Une seule règle active peut s’appliquer à une action donnée.

Gérer les actions du Dashboard qui nécessitent l’approbation des deux parties

Lorsque des membres de l’équipe effectuent dans le Dashboard des actions sensibles soumises à vos règles d’approbation, Stripe envoie automatiquement une demande d’approbation pour vérification. Les personnes à l’origine de la requête peuvent y ajouter une justification facultative, qui s’affiche pour le réviseur chargé de la vérifier avec les détails de la requête afin de lui fournir davantage de contexte.

Gérer les requêtes API des agents d’IA qui nécessitent l’approbation des deux parties

Lorsqu’une clé API marquée comme agent tente d’exécuter une action qui déclenche une règle d’approbation, Stripe bloque la requête et renvoie une erreur approval_required contenant un objet approval_request en attente. Il appartient alors à l’agent de décider s’il soumet la requête à une vérification.

Recevoir l’erreur

stripe refunds create \
  --charge=ch_1NirD82eZvKYlo2CIvbtLWuY

{
  "error": {
    "code": "approval_required",
    "type": "invalid_request_error",
    "message": "This action requires approval before it can be completed. An approval request (apreq_test_61UTlnIc6qlJSHVBD16TkRqlEkSQ55yeUApuueFJIDCS) has been automatically generated but has not been submitted. To proceed, submit the request for review via POST /v2/core/approval_requests/apreq_test_61UTlnIc6qlJSHVBD16TkRqlEkSQ55yeUApuueFJIDCS/submit — if approved, it will automatically execute.",
    "approval_request": {
      "id": "apreq_test_61UTlnIc6qlJSHVBD16TkRqlEkSQ55yeUApuueFJIDCS",
      "object": "approval_request",
      "action": "create_refund",
      "status": "pending",
      "dashboard_url": "https://dashboard.stripe.com/approval_requests/apreq_test_61UTlnIc6qlJSHVBD16TkRqlEkSQ55yeUApuueFJIDCS",
      "expires_at": "2026-03-10T19:00:00Z"
    }
  }
}

Soumettez une requête d’approbation pour vérification

Même si Stripe génère automatiquement une requête d’approbation dans la réponse d’erreur, l’agent doit la soumettre explicitement pour qu’elle soit vérifiée. Les requêtes d’approbation non soumises expirent automatiquement après 24 heures. Pour soumettre une requête :

curl -X POST https://api.stripe.com/v2/core/approval_requests/apreq_1R4kXn2eZvKYlo2C/submit \
  -H "Authorization: Bearer 
sk_test_VePHdqKTYQjKNInc7u56JBrQ
" \
  -H "Stripe-Version: 2026-06-24.preview" \
  --json '{
    "reason": "Customer support request for Jenny Rosen"
  }'

Les requêtes soumises apparaissent dans le Dashboard sous Paramètres > Approbations > Requêtes.

Vérifier les requêtes d’approbation

Les réviseurs désignés peuvent approuver ou rejeter les requêtes sur la page Requêtes du Dashboard. Utilisez les filtres pour afficher les requêtes par statut, puis cliquez sur une requête pour en consulter les détails et y répondre. Les requêtes qui n’ont pas été approuvées dans un délai de 14 jours expirent automatiquement.

Lorsqu’une requête est approuvée, l’action est exécutée automatiquement. Lorsqu’une requête est refusée, aucune modification n’est apportée. Un utilisateur ne peut pas approuver sa propre requête.

Suivre l’activité d’approbation

Les événements d’approbation apparaissent dans l’historique de sécurité sous Paramètres > Équipe et sécurité. Les événements suivants sont enregistrés :

• Règle d’approbation créée, mise à jour, activée, désactivée ou supprimée
• Requête d’approbation créée
• Requête d’approbation approuvée ou refusée

Vous pouvez également consulter les requêtes API ayant nécessité une validation dans la section Logs de Workbench. Cliquez sur une requête API pour l’afficher.

Webhooks et événements

Comme les requêtes d’approbation sont examinées de manière asynchrone, vous pouvez créer un webhook pour écouter un événement lorsqu’une requête d’approbation est approuvée (v2.core.approval_request.approved) ou rejetée (v2.core.approval_request.rejected). Si une demande d’approbation n’a plus besoin d’être examinée, vous pouvez l’annuler, ce qui génère un événement v2.core.approval_request.canceled.

Après approbation, les requêtes sont exécutées automatiquement et émettent soit v2.core.approval_request.succeeded, soit v2.core.approval_request.failed.