API Vinted : ce qu'on peut vraiment faire en 2026

Vinted n'a pas d'API publique officielle. Voici ce que l'API interne permet, ce qu'elle refuse, et à quelles conditions.

Antoine — Fondateur de Redrip

Vinted a-t-il une API publique ?

Non. Contrairement à eBay, Etsy ou Shopify, Vinted ne documente aucune API destinée aux développeurs tiers. Pas de clé à demander, pas de documentation, pas de contrat d'usage.

Mais une API interne existe

Chaque action dans l'application ou sur le site appelle des points d'entrée REST. Ils ne sont pas secrets — ils sont visibles dans les requêtes réseau de n'importe quel navigateur — mais ils ne sont pas documentés et ne font l'objet d'aucun engagement de stabilité.

Quelques exemples :

• /api/v2/users/current — le compte connecté
• /api/v2/items — la liste des articles
• /api/v2/items/{id} — le détail d'un article
• /api/v2/conversations — les conversations
• /web/api/notifications/notifications — favoris et messages

Comment les appeler

Trois éléments sont nécessaires, tous issus d'une session déjà ouverte :

• le cookie de session, obtenu après connexion dans le navigateur
• l'en-tête X-CSRF-Token, lu dans la balise meta de la page
• l'en-tête X-Anon-Id, lu dans les cookies

Un détail qui coûte des heures quand on l'ignore : le jeton CSRF expire. Un 403 accompagné du code 106 ne signifie pas que vous n'avez pas le droit, mais que votre jeton est périmé — il faut le relire et rejouer la requête.

Ce que l'API permet

• lister vos articles, favoris, ventes et messages
• republier, modifier et supprimer vos annonces
• écrire aux acheteurs, envoyer des offres
• télécharger les bordereaux d'expédition
• lire vos statistiques : vues et favoris par article

Ce qu'elle refuse

• acheter au nom d'un autre utilisateur
• modifier les annonces d'autrui
• accéder aux données privées d'autres comptes
• collecter massivement sans déclencher les limites de fréquence

Trois risques techniques à connaître

Les limites de fréquence. Comptez de l'ordre de 10 à 30 requêtes par minute selon le point d'entrée. Au-delà : 429 Too Many Requests, puis une pause forcée de quelques minutes à une demi-heure. Un recul exponentiel après chaque 429 évite d'aggraver la situation.

La détection de comportement automatique. La régularité est ce qui trahit un programme : des requêtes à intervalle rigoureusement constant ne ressemblent à rien d'humain. Introduire une variation aléatoire n'est pas une astuce, c'est la condition pour ne pas se faire remarquer.

L'instabilité. Ces points d'entrée changent sans préavis. Un code qui fonctionnait il y a six mois peut échouer aujourd'hui, et rien ne vous aura prévenu. Prévoyez des erreurs explicites plutôt que des échecs silencieux.

Et la légalité ?

C'est une zone grise. Les conditions générales de Vinted interdisent la collecte massive et l'automatisation excessive, sans définir précisément le seuil. Nous avons détaillé la question dans notre article sur la légalité de l'automatisation.