Autenticazione
Chiavi API, connessioni OAuth, ambiti e quale credenziale usare.
Esistono due tipi di credenziale, e la differenza non è solo formale.
Chiavi API
Una credenziale di servizio dello spazio di lavoro. Chi la possiede agisce per conto dello spazio di lavoro. Può crearla solo un amministratore, che ne sceglie gli ambiti.
curl https://api.atelier201.com/v1/sites \
-H "Authorization: Bearer atelier201_live_..."Il segreto viene mostrato una sola volta, al momento della creazione. Atelier201 ne memorizza un hash, quindi non può mostrarlo di nuovo. Se lo perdi, revocalo e creane un altro.
Connessioni OAuth
La delega di una persona a un client: un client MCP oppure atelier201 auth login. Include l’identità della persona, quindi è soggetta anche al limite di
accesso dei membri dello spazio di lavoro: un amministratore decide quanto del
proprio accesso un membro può delegare a un agente.
Atelier201 implementa OAuth 2.1 con PKCE, la registrazione dinamica dei client (RFC 7591) e il flusso per dispositivi. Tutti i client supportati sono pubblici, quindi non ci sono segreti client: li sostituisce PKCE.
Ambiti
Concedi solo gli ambiti strettamente necessari al lavoro.
| Scope | Consente di |
|---|---|
account:read | Leggere lo spazio di lavoro, il piano e il saldo crediti. |
usage:read | Leggere l’andamento dell’utilizzo dei crediti nel tempo. |
sites:read | Leggere i siti: file, contenuti, build, anteprime, cronologia e domini. |
sites:write | Creare siti, modificare file e contenuti, caricare contenuti multimediali, creare build e condividere anteprime. Nulla diventa pubblico. |
sites:publish | Pubblicare, ripristinare una versione precedente o mettere offline un sito, ed eliminarlo. Modifica ciò che vedono i visitatori. |
domains:write | Collegare, verificare e rimuovere domini personalizzati, e scegliere l’indirizzo principale di un sito. |
media:generate | Creare immagini e video con l’IA, pagando con i crediti dello spazio di lavoro al prezzo mostrato prima di ogni generazione. |
sites:write non consente di pubblicare né di spendere crediti: solo
media:generate lo consente. Un agente con questo ambito può preparare un sito
completo, poi il proprietario decide quando pubblicarlo. Un ambito è il primo
controllo, non l’unico: per pubblicare, ripristinare una versione precedente,
mettere offline o eliminare un sito e modificare i domini serve anche un
amministratore dello spazio di lavoro.
Un sito guest non usa nessuno dei due tipi di credenziale: il suo token di scrittura temporaneo consente di accedere a quel solo sito. Vedi Siti guest.