- Vous choisissez le rôle dans le champ Rôle lorsque vous créez le token dans Paramètres › Développeur › Tokens d’API. Consultez Tokens d’API.
- Les droits se modifient sur le rôle, dans Paramètres › Rôle. Modifier un rôle change immédiatement ce que peut faire chaque token qui y est rattaché. Consultez Permissions des rôles.
- Un token n’a ni liste de permissions propre ni date d’expiration. Pour restreindre un token, rattachez-le à un rôle disposant de moins de droits.
Ce qu’un token peut faire
Un token peut faire exactement ce que son rôle permet : lire un objet quand le rôle a le droit Lire dessus, le créer ou le modifier avec le droit Écrire, le supprimer avec le droit Supprimer.
Tous les endpoints exigent aussi un token valide (sinon
401) et ne renvoient que les données du workspace du token.
Réponse 403
Lorsque le rôle n’a pas le droit requis, l’API renvoie403 Forbidden et ne modifie aucune donnée :
Requires indique le droit manquant. Accordez ce droit au rôle du token, ou utilisez un token rattaché à un autre rôle.
Recommandations
- Créez un rôle dédié à chaque intégration (par exemple « Synchro ERP ») avec uniquement les objets dans lesquels elle écrit.
- Utilisez un token par intégration et par environnement, pour pouvoir en révoquer un sans affecter les autres.
- Pour les intégrations en lecture seule, utilisez un rôle qui n’a que des droits Lire.