Authentification
Clés API, connexions OAuth, portées et choix de l’identifiant à utiliser.
Il existe deux types d’identifiants, et la différence n’est pas qu’une question d’apparence.
Clés API
Un identifiant de service de l’espace de travail. Toute personne qui le détient agit au nom de l’espace de travail. Seul un administrateur peut en créer un et définir ses portées.
curl https://api.atelier201.com/v1/sites \
-H "Authorization: Bearer atelier201_live_..."Le secret n’est affiché qu’une seule fois, lors de sa création. Atelier201 n’enregistre qu’une empreinte, impossible à afficher de nouveau. En cas de perte, révoquez-le et créez-en un autre.
Connexions OAuth
La délégation d’une personne à un client : un client MCP ou atelier201 auth login. La connexion étant associée à son identité, elle est également limitée au plafond de délégation défini par l’espace de travail : un administrateur décide de la part de ses propres accès qu’un membre peut confier à un robot.
Atelier201 implémente OAuth 2.1 avec PKCE, l’enregistrement dynamique des clients (RFC 7591) et le flux d’appareil. Tous les clients pris en charge sont publics : il n’y a donc pas de secrets client, PKCE les remplace.
Portées
Accordez uniquement les portées nécessaires au travail.
| Portée | Autorisations |
|---|---|
account:read | Consulter l’espace de travail, son forfait et son solde de crédits. |
usage:read | Consulter l’utilisation des crédits au fil du temps. |
sites:read | Consulter les sites : fichiers, contenu, compilations, aperçus, historique et domaines. |
sites:write | Créer des sites, modifier des fichiers et du contenu, importer des médias, compiler et partager des aperçus. Rien n’est rendu public. |
sites:publish | Publier un site, revenir à une version antérieure, le mettre hors ligne ou le supprimer. Cela modifie ce que voient les visiteurs. |
domains:write | Associer, vérifier et supprimer des domaines personnalisés, et choisir l’adresse principale d’un site. |
media:generate | Générer des images et des vidéos avec l’IA, en utilisant les crédits de l’espace de travail au tarif indiqué avant chaque génération. |
sites:write ne permet ni de publier ni de dépenser des crédits : seule media:generate le permet. Un agent disposant de cette portée peut préparer un site complet, puis son propriétaire décide quand le mettre en ligne. Une portée est le premier contrôle, pas le seul : la publication, le retour à une version antérieure, la mise hors ligne, la suppression d’un site et la modification des domaines nécessitent aussi un administrateur de l’espace de travail.
Un site invité n’utilise aucun de ces deux types d’identifiants : son jeton d’écriture à durée limitée donne accès à ce seul site. Consultez Sites invités.