API SubEntreprise : les données d'entreprises dans vos outils

Accès à l'API

Démarrage rapide

Toutes les requêtes se font en HTTPS sur https://subentreprise.com/api/v1, avec votre clé dans l'en-tête Authorization. Exemple : la fiche d'une entreprise à partir de son SIREN.

curl "https://subentreprise.com/api/v1/entreprises/552032534" \
  -H "Authorization: Bearer VOTRE_CLE_API" \
  -H "Accept: application/json"

{
  "data": {
    "siren": "552032534",
    "denomination": "DANONE",
    "forme_juridique": "SA à conseil d'administration",
    "capital": 171910205,
    "date_creation": "1899-01-01",
    "siege": {
      "siret": "55203253400041",
      "adresse": "17 BOULEVARD HAUSSMANN",
      "code_postal": "75009",
      "ville": "PARIS",
      "latitude": 48.8721,
      "longitude": 2.3365
    },
    "ape": { "code": "70.10Z", "libelle": "Activités des sièges sociaux" },
    "tva_intracommunautaire": "FR14552032534",
    "effectif": { "tranche": "250 à 499 salariés", "annee": 2023 },
    "statut": "active",
    "procedure_collective": false,
    "sante_financiere": "A",
    "mise_a_jour": "2026-09-30"
  },
  "sources": ["INSEE", "INPI", "Greffes", "BODACC"]
}

Les montants sont exprimés en euros (entiers), les dates au format ISO 8601, les identifiants (SIREN, SIRET, codes APE) sous leur forme normalisée sans espace. Le champ sources rappelle les registres dont proviennent les données.

Authentification

Chaque requête doit porter votre clé API dans l'en-tête HTTP Authorization: Bearer VOTRE_CLE_API. La clé identifie votre compte SubEntreprise : elle est personnelle, ne doit jamais être exposée côté navigateur ni publiée dans un dépôt de code, et peut être révoquée ou renouvelée sur simple demande.

• Clé de production : accès complet, décomptée de votre quota.
• Clé de test : accès à un échantillon d'entreprises, sans décompte, pour développer et recetter votre intégration.
• Transport : HTTPS obligatoire ; les requêtes en HTTP sont refusées.
• Expiration : la clé reste valable tant que votre abonnement Professionnel est actif ; elle est suspendue à l'expiration de l'abonnement et réactivée avec lui.

Endpoints

Les ressources sont organisées autour de l'entreprise (SIREN) et de l'établissement (SIRET). Les chemins sont relatifs à l'URL de base.

Exemple de recherche

GET /entreprises?q=danone&departement=75&page=1 renvoie les entreprises dont la dénomination correspond, avec les métadonnées de pagination.

{
  "data": [
    { "siren": "552032534", "denomination": "DANONE", "siege": { "ville": "PARIS", "code_postal": "75009" }, "ape": { "code": "70.10Z" }, "statut": "active" },
    { "siren": "412934029", "denomination": "DANONE PRODUITS FRAIS FRANCE", "siege": { "ville": "RUEIL-MALMAISON", "code_postal": "92500" }, "ape": { "code": "10.51C" }, "statut": "active" }
  ],
  "meta": { "page": 1, "par_page": 25, "total": 42, "pages": 2 },
  "links": { "suivant": "/api/v1/entreprises?q=danone&page=2", "precedent": null }
}

Formats, pagination et filtres

Les listes renvoient un objet meta (page, par_page, total, pages) et un objet links (suivant, precedent). Les champs absents sont renvoyés à null plutôt qu'omis, pour que vos schémas restent stables.

Quotas et limites

Le quota de base est inclus dans l'offre Professionnel à l'activation ; il est ajusté sur devis pour des volumes supérieurs. Chaque réponse porte les en-têtes X-RateLimit-Limit, X-RateLimit-Remaining et, lorsque la limite est atteinte, Retry-After. Les documents certifiés (extrait Kbis, avis SIRENE, extrait RNE, diagnostics) ne sont pas distribués par l'API : ils se commandent depuis le site, dans la limite de 15 documents par mois.

Codes d'erreur

Les erreurs sont renvoyées avec le code HTTP approprié et un corps JSON uniforme : error.code (identifiant stable), error.message (explication en français) et, selon le cas, error.errors ou error.retry_after.

{
  "error": {
    "code": "rate_limited",
    "message": "Quota de 60 requêtes par minute atteint.",
    "retry_after": 23
  }
}

Webhooks de surveillance

Plutôt que d'interroger /annonces en boucle, déclarez une URL de notification à l'activation : à chaque nouvelle annonce BODACC détectée sur une entreprise que vous surveillez (contrôle quotidien, le matin), nous envoyons une requête POST à votre URL avec le détail de l'annonce.

{
  "event": "annonce.publiee",
  "created_at": "2026-10-01T06:15:42+02:00",
  "entreprise": { "siren": "552032534", "denomination": "DANONE" },
  "annonce": {
    "id": "A20260001234",
    "type": "Modification",
    "date_parution": "2026-10-01",
    "tribunal": "Tribunal de commerce de Paris",
    "descriptif": "Modification de la dénomination. Changement de dirigeant.",
    "procedure_collective": false,
    "url": "https://www.bodacc.fr/annonce/detail-annonce/A/20260001/1234"
  }
}

• Signature : chaque envoi porte l'en-tête X-Signature, HMAC-SHA256 du corps brut avec votre secret de webhook ; vérifiez-la avant de traiter l'événement.
• Accusé de réception : répondez 2xx en moins de 10 secondes. En cas d'échec, l'envoi est retenté 5 fois sur 24 heures (délais croissants).
• Idempotence : le champ annonce.id est stable ; ignorez les doublons éventuels.
• Événements : annonce.publiee (nouvelle annonce), procedure.ouverte (ouverture d'une procédure collective), entreprise.radiee (radiation).

Bonnes pratiques et conditions d'utilisation

• Mettez en cache les fiches : les données des registres évoluent au rythme des publications (quotidien pour le BODACC et SIRENE, à la clôture pour les comptes) ; une fiche n'a pas besoin d'être rechargée à chaque affichage. Le champ mise_a_jour vous indique la fraîcheur de la donnée.
• Préférez les webhooks au polling pour la surveillance : ils vous préviennent le jour même et n'entament pas votre quota.
• Citez la source lorsque vous affichez les données à des tiers : registres publics (INSEE, INPI, greffes des tribunaux de commerce, BODACC) via SubEntreprise.
• Usage : l'API est destinée à vos propres outils et services. La revente ou la rediffusion brute de la base, l'extraction massive et toute utilisation contraire à nos conditions générales sont exclues.
• Données personnelles : les informations sur les dirigeants sont des données publiques du registre ; leur traitement reste soumis au RGPD dans vos propres systèmes.

Questions fréquentes

Documentation de l'API v1 · édition d'octobre 2026