Projets/ObsiGate
1
1
Fork 0
Code Issues 25 Pull Requests 1 Actions Packages Projects Releases 31 Wiki Activity

Clé API à portée limitée (un seul vault, fichiers seulement) #2

New Issue
Open
opened 2026-10-14 07:40:42 -04:00 by bruno · 0 comments
bruno commented 2026-10-14 07:40:42 -04:00
Owner
Copy Link
Copy Source

Contexte commun : intégration TikTak ↔ ObsiGate — TikTak projette ses tâches/notes en fichiers Markdown dans un vault dédié « TikTak » via l'API REST fichiers (analyse complète : dépôt Projets/ticktick-clone, docs/SYNCHRO-OBSIGATE.md, v1.1).

Contexte. Les clés API longue durée actuelles (POST /api/auth/tokens) portent toutes les permissions du compte. La clé que TikTak conservera pour synchroniser ne devrait pouvoir toucher que le vault « TikTak » et que les fichiers — si elle fuit, le reste de la mémoire doit rester hors de portée.

Proposition.

  • À la création d'une clé : portée optionnelle — vault unique (ou liste), et périmètre d'endpoints (fichiers en lecture/écriture).
  • check_vault_access et le routage refusent tout accès hors portée avec cette clé (REST et MCP).
  • L'interface « Clés API & MCP » affiche la portée ; les clés existantes restent sans portée (= comportement actuel).

Acceptation.

  • Une clé limitée au vault TikTak lit/écrit ses fichiers, se voit refuser un autre vault (403) et les endpoints hors périmètre.
  • Les clés sans portée continuent de fonctionner comme aujourd'hui (tests de non-régression).
Contexte commun : intégration TikTak ↔ ObsiGate — TikTak projette ses tâches/notes en fichiers Markdown dans un vault dédié « TikTak » via l'API REST fichiers (analyse complète : dépôt `Projets/ticktick-clone`, `docs/SYNCHRO-OBSIGATE.md`, v1.1). **Contexte.** Les clés API longue durée actuelles (`POST /api/auth/tokens`) portent toutes les permissions du compte. La clé que TikTak conservera pour synchroniser ne devrait pouvoir toucher **que le vault « TikTak »** et **que les fichiers** — si elle fuit, le reste de la mémoire doit rester hors de portée. **Proposition.** - À la création d'une clé : portée optionnelle — vault unique (ou liste), et périmètre d'endpoints (fichiers en lecture/écriture). - `check_vault_access` et le routage refusent tout accès hors portée avec cette clé (REST et MCP). - L'interface « Clés API & MCP » affiche la portée ; les clés existantes restent sans portée (= comportement actuel). **Acceptation.** - Une clé limitée au vault TikTak lit/écrit ses fichiers, se voit refuser un autre vault (403) et les endpoints hors périmètre. - Les clés sans portée continuent de fonctionner comme aujourd'hui (tests de non-régression).
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
kanban:done
Termine (suivi Kanbante)
 kanban:in_progress
kanban:qa
kanban:review
kanban:todo
roadmap
Feuille de route — programme Fusion
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
bruno
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: Projets/ObsiGate#2