---
title: "Autenticazione"
description: "Chiavi API, connessioni OAuth, ambiti e quale credenziale usare."
canonical: "https://atelier201.com/docs/it/api/authentication"
updated: "2026-11-06"
---

# Autenticazione

Esistono due tipi di credenziale, e la differenza non è solo formale.

## Chiavi API

Una **credenziale di servizio dello spazio di lavoro**. Chi la possiede agisce
per conto dello spazio di lavoro. Può crearla solo un amministratore, che ne
sceglie gli ambiti.

```bash
curl https://api.atelier201.com/v1/sites \
  -H "Authorization: Bearer atelier201_live_..."
```

Il segreto viene mostrato una sola volta, al momento della creazione. Atelier201
ne memorizza un hash, quindi non può mostrarlo di nuovo. Se lo perdi, revocalo e
creane un altro.

## Connessioni OAuth

La **delega di una persona a un client**: un client MCP oppure `atelier201 auth login`. Include l'identità della persona, quindi è soggetta anche al limite di
accesso dei membri dello spazio di lavoro: un amministratore decide quanto del
proprio accesso un membro può delegare a un agente.

Atelier201 implementa OAuth 2.1 con PKCE, la registrazione dinamica dei client
([RFC 7591](https://www.rfc-editor.org/rfc/rfc7591)) e il flusso per dispositivi. Tutti i
client supportati sono pubblici, quindi non ci sono segreti client: li
sostituisce PKCE.

> **Warning: Il limite non definisce le capacità**
>
> Il limite per i membri stabilisce quanto un membro può delegare a un client. Non
> limita ciò che può fare nell'interfaccia web: il prodotto prevede due ruoli,
> amministratore e membro.

## Ambiti

Concedi solo gli ambiti strettamente necessari al lavoro.

| Scope            | Consente di                                                                                                                              |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------- |
| `account:read`   | Leggere lo spazio di lavoro, il piano e il saldo crediti.                                                                                |
| `usage:read`     | Leggere l'andamento dell'utilizzo dei crediti nel tempo.                                                                                 |
| `sites:read`     | Leggere i siti: file, contenuti, build, anteprime, cronologia e domini.                                                                  |
| `sites:write`    | Creare siti, modificare file e contenuti, caricare contenuti multimediali, creare build e condividere anteprime. Nulla diventa pubblico. |
| `sites:publish`  | Pubblicare, ripristinare una versione precedente o mettere offline un sito, ed eliminarlo. Modifica ciò che vedono i visitatori.         |
| `domains:write`  | Collegare, verificare e rimuovere domini personalizzati, e scegliere l'indirizzo principale di un sito.                                  |
| `media:generate` | Creare immagini e video con l'IA, pagando con i crediti dello spazio di lavoro al prezzo mostrato prima di ogni generazione.             |

`sites:write` non consente di pubblicare né di spendere crediti: solo
`media:generate` lo consente. Un agente con questo ambito può preparare un sito
completo, poi il proprietario decide quando pubblicarlo. Un ambito è il primo
controllo, non l'unico: per pubblicare, ripristinare una versione precedente,
mettere offline o eliminare un sito e modificare i domini serve anche un
amministratore dello spazio di lavoro.

Un sito guest non usa nessuno dei due tipi di credenziale: il suo token di
scrittura temporaneo consente di accedere a quel solo sito. Vedi [Siti guest](/docs/platform/guest-sites).