Aller au contenu
TellMeHow Documentation
fr

Documentation de l’API

Authentification

Jetons personnels pour vos scripts, OAuth 2.1 pour les applications et les connecteurs : deux façons d’agir avec les droits d’un membre, jamais plus.

Jetons personnels

Pour vos scripts, vos automatisations et Claude Code. Un jeton commence par pat_ et se passe dans l’en-tête Authorization.

  • Créez-le dans votre espace, menu « API et intégrations », onglet « Clés API » : un nom, une portée, une durée de 30, 90, 365 jours ou sans expiration.
  • Sa valeur n’est affichée qu’une fois, à la création : seule son empreinte est conservée. Vous la reconnaîtrez ensuite à ses quatre derniers caractères.
  • 20 jetons actifs au plus par membre et par espace.
  • Révocable à tout moment depuis le même écran, avec la date du dernier usage. Un membre retiré de l’espace perd aussitôt ses jetons.
En-tête HTTP 
Authorization: Bearer pat_…

OAuth 2.1 pour les applications

Pour une application qui agit au nom de plusieurs membres, ou un connecteur comme claude.ai : chaque espace est son propre serveur d’autorisation, découvrable automatiquement.

  1. Découverte

    Les métadonnées du serveur d’autorisation (RFC 8414) et de la ressource protégée (RFC 9728) se lisent sur l’hôte de l’espace.

    GET /.well-known/oauth-authorization-server

  2. Enregistrement

    L’application s’enregistre elle-même (RFC 7591) comme client public, sans secret. Redirections acceptées : https, localhost et les schémas des applications de bureau connues.

    POST /oauth/register

  3. Autorisation

    Code d’autorisation avec PKCE (S256) obligatoire. Le membre se connecte (avec sa double authentification), puis choisit lui-même : lecture seule, ou lecture et écriture.

    GET /oauth/authorize

  4. Jetons

    Le code s’échange contre un jeton d’accès et un jeton de rafraîchissement, puis le jeton d’accès se passe dans l’en-tête Authorization, comme un jeton personnel.

    POST /oauth/token

Un jeton d’accès vaut 60 minutes, un jeton de rafraîchissement 30 jours. Le membre voit chaque application dans « API et intégrations › Applications connectées » et peut la révoquer.

Portées

Deux portées, choisies à la création du jeton ou par le membre lors du consentement OAuth.

PortéePermet
readLecture seule : toutes les opérations GET, plus poser une question au chat de l’audit et prévisualiser le floutage (rien n’est modifié).
writeLecture et écriture : tout ce que le rôle du membre permet.

Opérations réservées à l’application web

Certains gestes ne passent jamais par un jeton : ils restent dans l’application, derrière la session et sa double authentification. Un jeton reçoit alors 403 integrations.session_required.

  • Connexion, mot de passe, double authentification et clés d’accès du compte.
  • Gestion des jetons et des applications autorisées.
  • Création, remplacement ou suppression d’une clé IA de l’espace : un secret ne transite pas par une conversation.
  • Accorder un accès de support à l’équipe de la plateforme (consentement du cabinet).
  • Les surfaces des participants et des commanditaires, qui ont leurs propres liens.