Jetons API
Les jetons API vous permettent de connecter des systèmes externes, des scripts et des outils à la plateforme Mirox avec des identifiants cloisonnés et révocables qui n'exposent jamais votre mot de passe. Chaque jeton authentifie les requêtes machine-à-machine en votre nom, afin que vous puissiez automatiser le reporting et exporter des métriques sans partager votre connexion.
Concept de jeton
Chaque jeton appartient à l'utilisateur qui l'a créé et se comporte comme cet utilisateur, dans certaines limites :
- Lié à votre compte — un jeton agit en votre nom, et tout ce qu'il fait vous est attribué dans la piste d'audit.
- Plafond de permissions — un jeton ne peut jamais atteindre quoi que ce soit que vous ne pouvez pas atteindre vous-même. Votre propre rôle et votre accès aux ressources limitent toujours ce que le jeton voit.
- Cloisonné par groupe de permissions — vous choisissez un groupe de permissions au moment de la création pour restreindre davantage le jeton (voir ci-dessous).
- Affiché une seule fois — la valeur complète du jeton est affichée une seule fois lors de sa création. Stockez-la en lieu sûr ; Mirox ne conserve qu'une copie hachée et ne pourra plus jamais l'afficher.
Cela rend l'automatisation responsable : même si un jeton est compromis, il est limité à une seule portée, facile à révoquer et isolé de vos autres jetons.
Groupes de permissions
Lorsque vous créez un jeton, vous choisissez un groupe de permissions qui définit ce qu'il peut faire :
| Groupe | Ce que le jeton peut faire |
|---|---|
| Full Access | Agit avec votre accès complet — toute surface d'API que vous pouvez atteindre. |
| Reporting | Générer et télécharger des rapports et des exports uniquement. |
| Timeseries Database | Lire les métriques de séries temporelles uniquement. |
Un groupe n'élargit jamais votre accès ; il ne fait que restreindre le jeton par rapport à vos propres permissions. Pour la définition complète de chaque groupe, consultez la section groupes de permissions API de la documentation du système de permissions.
Adaptez le groupe à la tâche
Donnez à chaque intégration le groupe le plus restreint qui fonctionne encore. Une tâche de rapport nocturne n'a besoin que de Reporting ; un client de lecture de métriques n'a besoin que de Timeseries Database. Cela limite le rayon d'impact en cas de fuite d'un jeton.
Création et gestion des jetons
Vous gérez vos jetons depuis votre profil. La plateforme couvre l'ensemble du cycle de vie :
Créer un jeton
- Nom et description — une étiquette claire et une note pour vous souvenir de l'usage de chaque jeton.
- Groupe de permissions — choisissez l'un des groupes ci-dessus.
- Expiration — facultative. Les jetons ont par défaut une durée de vie d'un an, et vous pouvez définir n'importe quelle expiration jusqu'à un maximum de cinq ans.
- Révélation unique — le jeton complet est affiché une seule fois à la création, puis plus jamais.
Vous pouvez détenir jusqu'à 64 jetons actifs par compte.
La création et la rotation nécessitent une session connectée
La création, la rotation ou la suppression d'un jeton nécessitent une connexion active dans le navigateur (session par cookie). Vous ne pouvez pas utiliser un jeton API pour en générer ou en faire pivoter un autre — cela empêche un jeton ayant fuité d'en créer discrètement d'autres.
Faire pivoter un jeton
La rotation remplace le secret d'un jeton sur place, sans modifier son nom, sa description ni son groupe de permissions :
- Un nouveau secret est émis et affiché une seule fois.
- L'ancien secret cesse de fonctionner immédiatement.
- L'expiration est réinitialisée et l'historique d'utilisation est effacé.
La rotation est la méthode recommandée pour rafraîchir des intégrations de longue durée selon un calendrier, ou pour réagir à une fuite suspectée, sans avoir à reconfigurer quelle intégration utilise quel jeton.
Surveillance et révocation
- Inventaire — listez tous vos jetons avec leur nom, leur groupe de permissions, leurs dates de création et d'expiration.
- Aperçu de l'utilisation — voyez quand chaque jeton a été utilisé pour la dernière fois, ainsi que l'IP, la localisation, le navigateur et le système d'exploitation capturés à ce moment-là. La valeur du jeton elle-même n'est jamais réaffichée.
- Révocation immédiate — supprimez un jeton pour l'invalider instantanément. La révocation d'un jeton n'affecte jamais les autres.
Cas d'usage courants
Les jetons API prennent en charge un large éventail de scénarios d'intégration.
Reporting et export de données
- Planifiez la génération et le téléchargement automatisés de rapports.
- Alimentez des entrepôts de données et des pipelines d'analyse avec des données de performance.
- Pilotez des tableaux de bord externes et des outils de reporting de direction.
Accès aux métriques de séries temporelles
- Interrogez les métriques historiques avec MiroxQL, le format de requête pris en charge pour l'accès programmatique et aux données brutes.
- Connectez des outils d'analyse en lecture seule à l'API d'export de métriques.
- Extrayez les métriques historiques pour l'analyse de tendances et les tableaux de bord externes.
Sécurité et contrôle
- Isolation des jetons — un jeton compromis n'expose jamais votre mot de passe ni vos autres jetons.
- Rotation planifiée — faites pivoter périodiquement les jetons de longue durée à l'aide de l'action de rotation, en conservant la même configuration.
- Validité limitée dans le temps — définissez une expiration afin que les jetons abandonnés expirent automatiquement.
- Attribution complète — chaque action effectuée par un jeton est enregistrée à votre nom, afin que l'utilisation reste responsable et auditable.
Fonctionnalités associées
- Système de permissions — comment fonctionnent les groupes de permissions et le contrôle d'accès
- Rapports — génération automatisée de rapports qu'un jeton peut piloter
- MiroxQL — interrogez les métriques historiques avec un jeton Timeseries Database
- Guide d'utilisation des jetons API — création de jetons étape par étape et exemples