Jetons d'API
Un jeton d’API permet à un script ou à un autre système de travailler avec Flowtly en votre nom, sans que personne ne se connecte sur l'écran de connexion. Vous créez et révoquez vos propres jetons dans Profil → Sécurité, dans la section Jetons d’API.
Un jeton agit en votre nom
Lisez ceci avant de confier un jeton à qui ou à quoi que ce soit.
Un jeton porte votre identité et vos autorisations. Tout ce que vous pouvez voir et modifier dans Flowtly, tout ce qui détient votre jeton peut aussi le voir et le modifier, et tout ce qui est fait avec lui est fait en votre nom.
- Ce n'est pas une clé de l'organisation. Il appartient à la personne qui l'a créé et atteint ce que cette personne peut atteindre.
- Il ne peut pas être limité. Il n'existe ni jeton en lecture seule ni jeton pour un seul module : chaque jeton dispose de tout votre accès.
Confier un jeton à une intégration, c'est donc lui confier votre propre accès. Ne le donnez qu'à un système auquel vous confieriez votre compte, et créez-le en tant que la personne dont l'intégration a réellement besoin de l'accès.
Connecter un assistant d'IA comme Claude ou ChatGPT ne demande aucun jeton : voir Connecter des outils d'IA (Claude, ChatGPT).
Créer un jeton
- Ouvrez Profil → Sécurité et allez à Jetons d’API.
- Saisissez un Nom du jeton qui indique où le jeton sera utilisé, par exemple le nom de l'intégration. Il peut compter jusqu'à 32 caractères. Sans nom, le jeton s'appelle « Jeton d’API ».
- Choisissez Générer un jeton.
Flowtly affiche alors le jeton, une seule fois. Choisissez l'icône de copie et conservez-le en lieu sûr, par exemple dans un gestionnaire de mots de passe ou dans le coffre à secrets de l'intégration, avant de choisir Terminé. Flowtly ne garde aucune copie qu'il pourrait vous montrer de nouveau : une fois cette fenêtre fermée, ni vous ni personne ne peut récupérer le jeton. S'il est perdu, révoquez-le et créez-en un nouveau.
Durée de validité d'un jeton
Un jeton créé ici est valable 365 jours à partir du moment où vous le créez. C'est la durée par défaut, et 730 jours est la durée la plus longue pour laquelle Flowtly émet un jeton : aucun jeton ne reste donc valable indéfiniment. Un jeton ne peut pas être prolongé : avant son expiration, créez-en un nouveau, donnez-le à l'intégration, puis révoquez l'ancien.
La liste Jetons d’API affiche chacun de vos jetons par son nom, avec la date à laquelle il expire (ou a expiré) et sa dernière utilisation. Un jeton expiré reste dans la liste jusqu'à ce que vous le révoquiez. Un jeton inutilisé depuis des mois est un bon candidat à la révocation.
Révoquer un jeton
Choisissez l'icône de corbeille à côté d'un jeton pour le révoquer. Aucune confirmation n'est demandée.
La révocation prend effet immédiatement : la toute prochaine requête faite avec ce jeton est refusée, au lieu que le jeton continue de fonctionner jusqu'à sa date d'expiration. Un jeton révoqué ne peut pas être rétabli ; s'il est encore nécessaire, créez-en un nouveau.
Certains événements arrêtent vos jetons sans que vous les révoquiez :
- Une réinitialisation du mot de passe. Une fois une réinitialisation du mot de passe terminée, tous les jetons que vous aviez créés avant cessent de fonctionner, comme vos autres sessions. Ils restent dans la liste comme s'ils étaient encore valables : révoquez-les donc aussi et créez de nouveaux jetons pour vos intégrations.
- Un compte désactivé. Si votre compte Flowtly est désactivé, tous les jetons que vous avez créés cessent de fonctionner tant que le compte reste désactivé. Révoquez-les s'ils ne doivent pas revenir.
Personne d'autre ne peut les lister ou les révoquer depuis son propre Profil → Sécurité.
Exemples d'utilisation
- Une cheffe d'équipe connecte à Flowtly un script de saisie des temps avec un jeton nommé d'après le script et enregistré dans les paramètres secrets du script.
- Un consultant qui a collé un jeton au mauvais endroit le révoque aussitôt, sachant qu'il cessera de fonctionner dès sa prochaine utilisation.
- Un administrateur programme un rappel onze mois après avoir créé le jeton d'une intégration et le remplace avant la fin des 365 jours.
- Avant de confier un jeton à un outil externe, une responsable vérifie ce que son propre compte peut atteindre, car l'outil atteindra exactement la même chose.