Intégration

Portées (scopes) et moindre privilège

Matrice ressource:action, implication write→read, et clés séparées par usage CI.

Contrat OpenAPI Émettre une clé d’API Compte Solo gratuit

Document complet, sans authentification, à donner à votre générateur de client.

Portées (scopes)

Une portée s’écrit ressource:action. La clé n’atteint que les routes dont la portée figure dans la sienne. Hors portée → 403 en nommant celle qui manque.

Écrire implique lire : scenarios:write accorde aussi scenarios:read. runs:trigger est distinct de runs:read : déclencher consomme du quota d’exécution.

Ressource	Lecture	Écriture
Scénarios	`scenarios:read`	`scenarios:write`
Exécutions	`runs:read`	`runs:trigger`
Incidents	`incidents:read`	`incidents:write`
Webhooks sortants	`alerting:read`	`alerting:write`
Fenêtres de maintenance	`maintenance:read`	`maintenance:write`
Objectifs de disponibilité	`sla:read`	`sla:write`
Organisation, consommation, page de statut	`org:read`	`org:write`
Membres	`members:read`	`—`

Moindre privilège

Émettez une clé par usage. CI de lecture seule : scenarios:read + runs:read. Pipeline qui crée des moniteurs : scenarios:write. Job qui déclenche un smoke post-deploy : runs:trigger seul si possible. Webhooks : alerting:write seulement sur le service qui les gère.

Révoquez dès qu’un pipeline ou un poste change. Une clé large oubliée dans un fork public est un incident, pas une note de backlog.

Matrice recommandée

# usage              scopes
# terraform apply    scenarios:write alerting:write maintenance:write sla:write
# terraform plan     scenarios:read  alerting:read  maintenance:read  sla:read
# smoke post-deploy  runs:trigger runs:read
# dashboard RO       scenarios:read runs:read incidents:read org:read