Authentification, autorisations et identifiants sécurisés

Choisir un identifiant pour l’appelant

Pour un agent, utilisez OAuth dans le navigateur : l’utilisateur se connecte et choisit l’accès, puis la CLI stocke et actualise ses identifiants. Pour un script backend ou une tâche CI, fournissez un jeton d’accès personnel via VICKY_API_KEY. Gardez les identifiants hors du code navigateur, des dépôts publics, des prompts, captures d’écran et journaux partagés.

Les exemples HTTP utilisent SOSOAPI_ACCESS_TOKEN comme variable d’environnement côté serveur pour la valeur Bearer. C’est une variable d’exemple, pas un paramètre CLI. Vérifiez les identifiants acceptés par chaque opération ; les jetons d’accès personnels ne peuvent pas gérer les clés API.

npx sosoapi auth login

npx sosoapi auth status

npx sosoapi auth logout

• Référence API complète

Périmètre et capacités

Chaque requête vérifie l’appartenance à l’espace de travail et le rôle requis. OAuth délégué limite aussi l’accès aux espaces et capacités choisis par l’utilisateur. agent:operate couvre la lecture et la préparation, agent:publish la programmation et la publication, agent:engage les écritures communautaires. La gestion des clés API nécessite une autorisation distincte.

Un jeton d’accès personnel est limité par le rôle de son propriétaire et ses éventuelles restrictions de capacités ou d’espaces de travail. Choisissez uniquement l’accès nécessaire ; omettre les restrictions facultatives peut laisser un accès large. Les profils core et full modifient la liste visible des outils, pas les autorisations. L’accès de publication reste actif dans son périmètre sans nouvelle approbation dans le navigateur à chaque publication.

Stockage et révocation des identifiants

La CLI stocke les identifiants dans le trousseau du système lorsqu’il est disponible, sinon dans un fichier local lisible uniquement par son propriétaire. Les jetons d’accès OAuth durent une heure et sont actualisés par le parcours de connexion. Utilisez auth status pour diagnostiquer une connexion plutôt que de copier le fichier d’identifiants.

Révoquez un appareil ou une autorisation dans Settings → Agents & API Access, ou exécutez auth logout pour déconnecter l’appareil local actuel. Cela bloque l’accès futur, mais n’annule ni les publications diffusées ni les programmations déjà acceptées par SosoAPI ; vérifiez-les et gérez-les séparément.

Points d’accès d’initialisation de l’authentification

Les quatre points d’accès agent-auth documentent le protocole de connexion. Utilisez la CLI prise en charge ou un client OAuth distant ; ces points d’accès ne sont pas disponibles via api post. Config, request, session et revoke-current acceptent des identifiants et champs différents. Suivez le schéma de chacun et gardez les identifiants de session hors des sorties et journaux.

• Référence des points d’accès d’authentification