Jetons API

Les jetons API vous permettent de connecter des systèmes externes, des scripts et des outils à la plateforme Mirox avec des identifiants cloisonnés et révocables qui n'exposent jamais votre mot de passe. Chaque jeton authentifie les requêtes machine-à-machine en votre nom, afin que vous puissiez exporter des indicateurs et automatiser vos intégrations sans partager votre connexion.

Concept de jeton

Chaque jeton appartient à l'utilisateur qui l'a créé et se comporte comme cet utilisateur, dans certaines limites :

  • Lié à votre compte — un jeton agit en votre nom, et tout ce qu'il fait vous est attribué dans la piste d'audit.
  • Plafond de permissions — un jeton ne peut jamais atteindre quoi que ce soit que vous ne pouvez pas atteindre vous-même. Votre propre rôle et votre accès aux ressources limitent toujours ce que le jeton voit.
  • Cloisonné par groupe de permissions — vous choisissez un groupe de permissions au moment de la création pour restreindre davantage le jeton (voir ci-dessous).
  • Affiché une seule fois — la valeur complète du jeton est affichée une seule fois lors de sa création. Stockez-la en lieu sûr ; Mirox ne conserve qu'une copie hachée et ne pourra plus jamais l'afficher.
  • Fait pour l'automatisation — un jeton ne se voit jamais demander de second facteur, et les règles de connexion de votre organisation n'y mettent pas fin. Voir Jetons et authentification à deux facteurs.

Cela rend l'automatisation responsable : même si un jeton est compromis, il est limité à une seule portée, facile à révoquer et isolé de vos autres jetons.

Groupes de permissions

Lorsque vous créez un jeton, vous choisissez un groupe de permissions qui définit ce qu'il peut faire :

GroupeCe que le jeton peut faire
Full AccessAgit avec votre accès complet — toute surface d'API que vous pouvez atteindre.
Metric ExportLire l'export de données uniquement : indicateurs sous forme de séries temporelles, modèles d'export, catalogue des indicateurs, informations de centrale et événements. Il ne peut rien modifier.
Timeseries DatabaseLire les séries de mesure brutes uniquement.

Un groupe n'élargit jamais votre accès ; il ne fait que restreindre le jeton par rapport à vos propres permissions. Pour la définition complète de chaque groupe, consultez la section groupes de permissions API de la documentation du système de permissions.

Adaptez le groupe à la tâche

Donnez à chaque intégration le groupe le plus restreint qui fonctionne encore. Un classeur ou un script qui lit des exports n'a besoin que de Metric Export ; un client qui lit les séries de mesure brutes n'a besoin que de Timeseries Database. Cela limite le rayon d'impact en cas de fuite d'un jeton.

Création et gestion des jetons

Vous gérez vos jetons depuis votre profil. La plateforme couvre l'ensemble du cycle de vie :

Créer un jeton

  • Nom et description — une étiquette claire et une note pour vous souvenir de l'usage de chaque jeton.
  • Groupe de permissions — choisissez l'un des groupes ci-dessus.
  • Expiration — facultative. Les jetons ont par défaut une durée de vie d'un an, et vous pouvez définir n'importe quelle expiration jusqu'à un maximum de cinq ans.
  • Révélation unique — le jeton complet est affiché une seule fois à la création, puis plus jamais.

Vous pouvez détenir jusqu'à 64 jetons actifs par compte.

Création et rotation dans le navigateur

Vous créez et faites pivoter les jetons dans le navigateur, connecté à Mirox. Vous ne pouvez pas utiliser un jeton API pour en créer ou en faire pivoter un autre — cela empêche un jeton ayant fuité d'en créer discrètement d'autres.

Faire pivoter un jeton

La rotation remplace le secret d'un jeton sur place, sans modifier son nom, sa description ni son groupe de permissions :

  • Un nouveau secret est émis et affiché une seule fois.
  • L'ancien secret cesse de fonctionner immédiatement.
  • L'expiration est réinitialisée et l'historique d'utilisation est effacé.

La rotation est la méthode recommandée pour rafraîchir des intégrations de longue durée selon un calendrier, ou pour réagir à une fuite suspectée, sans avoir à reconfigurer quelle intégration utilise quel jeton.

Surveillance et révocation

  • Inventaire — listez tous vos jetons avec leur nom, leur groupe de permissions, leurs dates de création et d'expiration.
  • Aperçu de l'utilisation — voyez quand chaque jeton a été utilisé pour la dernière fois, ainsi que l'IP, la localisation, le navigateur et le système d'exploitation capturés à ce moment-là. La valeur du jeton elle-même n'est jamais réaffichée.
  • Révocation immédiate — supprimez un jeton pour l'invalider instantanément. La révocation d'un jeton n'affecte jamais les autres.

Jetons et authentification à deux facteurs

Un jeton API est fait pour les scripts et les intégrations qui tournent sans personne au clavier. Les règles de connexion prévues pour les personnes ne s'y appliquent donc pas :

  • Pas de second facteur. Un jeton ne se voit jamais demander de code, que votre compte utilise ou non l'authentification à deux facteurs (2FA).
  • Pas de fin imposée par les règles de connexion. Votre organisation peut fixer la durée d'une connexion à l'application web et à l'application mobile. Un jeton n'est pas une connexion : il continue de fonctionner jusqu'à sa propre date d'expiration, ou jusqu'à ce que vous le fassiez pivoter ou le révoquiez. Être déconnecté n'arrête pas vos jetons.
  • Pas de changement lié à une exigence de 2FA. Lorsqu'une organisation exige la 2FA pour accéder à ses centrales, cette règle s'applique aux personnes connectées à l'application web et à l'application mobile. Elle ne change pas ce qu'un jeton existant peut atteindre.

Une règle s'applique tout de même : tant que votre propre organisation exige la 2FA et que votre compte n'a pas de second facteur, vous ne pouvez pas créer de nouveau jeton. Activez d'abord la 2FA (application d'authentification ou passkey) — voir Authentification à deux facteurs. Vos jetons existants continuent de fonctionner entre-temps.

Comme un jeton n'est pas protégé par un second facteur, traitez-le comme un mot de passe : conservez-le en lieu sûr, donnez-lui le groupe de permissions le plus étroit, fixez une expiration et révoquez-le dès qu'il n'est plus nécessaire. Pour les règles de l'organisation, voir Politique de sécurité de l'organisation.

Cas d'usage courants

Les jetons API prennent en charge un large éventail de scénarios d'intégration.

Metric Export

Un jeton Metric Export lit chaque lien du Metric Export et de l'ancien export :

  • Actualisez des classeurs Excel et des tableaux de bord BI à partir d'un lien d'export.
  • Alimentez des entrepôts de données et des pipelines d'analyse avec des données de production et de performance.
  • Construisez vos propres rapports à partir des données exportées.

Le jeton ne peut ni créer ni modifier de modèles, d'indicateurs ou quoi que ce soit d'autre. Les rapports que Mirox génère lui-même ne sont pas pilotés par des jetons API : ils sont générés, publiés et téléchargés dans l'application.

Accès aux métriques de séries temporelles

  • Lisez les séries de mesure brutes de vos centrales, les mêmes séries que lit Grafana.
  • Connectez des outils d'analyse en lecture seule qui parlent le langage de requête du magasin de séries temporelles.

Sécurité et contrôle

  • Isolation des jetons — un jeton compromis n'expose jamais votre mot de passe ni vos autres jetons.
  • Rotation planifiée — faites pivoter périodiquement les jetons de longue durée à l'aide de l'action de rotation, en conservant la même configuration.
  • Validité limitée dans le temps — définissez une expiration afin que les jetons abandonnés expirent automatiquement.
  • Attribution complète — chaque action effectuée par un jeton est enregistrée à votre nom, afin que l'utilisation reste responsable et auditable.

Fonctionnalités associées