Jetons, étendues et sécurité
Fonctionnement des connexions de connexion (OAuth) et des jetons pat-isms : ce que chacun peut faire, les étendues, la déconnexion, l'expiration et les limites strictes.
Un client MCP agit en votre nom de l'une des deux manières suivantes : vous vous connectez et l'approuvez (OAuth, par défaut), ou vous lui donnez un jeton d'accès personnel limité par les étendues que vous avez sélectionnées.
Connexion (OAuth)
Lorsque vous ajoutez https://account.ismscopilot.com/v1/account/mcp à un client sans en-tête, le client vous demande de vous connecter à ISMS Copilot. La page de consentement affiche l'adresse où les résultats sont envoyés et le nom que l'application s'est donné. N'approuvez que si vous avez lancé la connexion depuis votre propre outil d'IA.
Un Approuver accorde un ensemble fixe unique :
| Peut | Étendues |
|---|---|
| Lire votre compte, espaces de travail, documents (métadonnées), mémoires et profil d'entreprise | account:read, workspaces:read, documents:read, memories:read, company_context:read |
| Poser des questions à ISMS Copilot et lire les réponses | conversations:create |
| Mettre à jour votre profil d'entreprise et vos mémoires, et créer des espaces de travail | company_context:write, memories:write, workspaces:write |
Une connexion par authentification ne peut jamais créer, lister ou révoquer des clés API, et ne peut jamais vérifier ou acheter des crédits API. Ceux-ci restent réservés aux jetons. Ses réponses ne contiennent jamais non plus de champs de mise à niveau ou d'achat comme upgrade_url ou extra_usage_buyable.
Les modifications apportées par une application connectée sont étiquetées dans ISMS Copilot avec le nom que l'application a enregistré : Added by OAuth app: <name> sur les mémoires, Updated by OAuth app: <name> sur votre profil d'entreprise et vos espaces de travail. Le nom est choisi par l'application elle-même, considérez-le donc comme une indication, pas une preuve. Une modification ultérieure depuis l'application web ou un jeton remplace l'étiquette.
Déconnexion : Paramètres → Applications connectées, sous Agents connectés. Le prochain appel de cette application est refusé, et son jeton de rafraîchissement cesse de fonctionner. Pour vous reconnecter, connectez-vous et approuvez à nouveau.
Jetons d'accès personnels (solution de repli)
Utilisez un jeton pour un client qui ne peut pas se connecter, pour les machines CI et sans interface, ou lorsque vous souhaitez un ensemble d'étendues plus restreint que celui accordé par la connexion.
Préfixe et cycle de vie
| Étape | Comportement |
|---|---|
| Création | Paramètres → Applications connectées → Créer un jeton |
| Affichage | Secret complet affiché une seule fois ; commence par pat-isms- |
| Stockage | Configuration du client uniquement ; ne jamais commiter dans git |
| Révocation | Même page Paramètres ; prend effet immédiatement |
| Expiration | Optionnelle à la création |
Étendues (typiques)
Les libellés exacts dans l'interface utilisateur peuvent varier légèrement ; l'intention est la suivante :
Compte
| Capacité | Lecture | Écriture / action |
|---|---|---|
| Informations du compte | oui | non |
| Espaces de travail | lister (workspaces:read) | créer des espaces de travail personnels avec create_workspace (workspaces:write) |
| Documents | lister les métadonnées uniquement (pas d'outil get-by-ID) | non |
| Mémoires | oui | créer / modifier lorsqu'autorisé |
| Contexte d'entreprise | get_company_context (company_context:read) | set_company_context (company_context:write), un remplacement complet du profil |
| Conversations | n/a | démarrer et envoyer lorsqu'autorisé |
Model API (groupe Applications connectées)
| Étendue | Objectif |
|---|---|
api_keys:read | Lister les métadonnées des clés sk-isms (pas de secrets) |
api_keys:write | Créer / révoquer des clés sk-isms via MCP |
api_credits:read | Lire le solde des crédits API prépayés |
api_credits:checkout | Créer une URL Stripe Checkout pour le rechargement (un humain paie dans le navigateur) |
Ces étendues ne permettent pas à un pat-isms d'appeler l'inférence. L'orchestrateur utilise toujours une clé sk-isms distincte pour api.ismscopilot.com. Voir Configurer depuis Claude Code ou Grok.
Accordez l'ensemble minimal pour la tâche de l'orchestrateur. Un jeton d'espace de travail en lecture seule ne peut pas démarrer de conversations.
Limites strictes (par conception)
- La création d'espaces de travail est réservée aux utilisateurs personnels et est budgétisée. Un espace de travail créé par un orchestrateur n'est pas partagé avec votre équipe, n'hérite pas de la Protection avancée des données de votre organisation et est limité à 10 nouveaux espaces de travail par 24 heures (chaque création compte, y compris celles de l'application web et l'espace de travail de départ d'un compte frais). Définissez la persona, les instructions et le partage d'équipe dans l'application web.
- Les écritures du contexte d'entreprise sont un remplacement complet.
set_company_contextécrase tout le profil avec les champs que vous passez (nom de l'entreprise, secteur, taille, pays du siège, rôle de confidentialité, types de données, région d'hébergement, pile technologique, notes) ; un objet vide l'efface. Lisez-le d'abord avecget_company_contextsi vous ne souhaitez modifier qu'un seul champ. - Beyond est disponible lorsque l'orchestrateur passe
mode: "beyond"(Fast est le mode par défaut). Forfaits payants, 10 exécutions par jour UTC (50 sur Unlimited). Voir Utilisation du mode Beyond. - La Protection avancée des données ne peut pas être activée/désactivée via le jeton. L'orchestrateur peut signaler le statut ; vous la modifiez dans Paramètres → Protection des données.
- Les limites de débit s'appliquent (de l'ordre de ~120 requêtes/minute par jeton ; les conversations simultanées sont limitées par compte). Si vous atteignez les limites, réduisez la fréquence et réessayez.
pat-ismsseul ne permet pas d'exécuter des complétions de l'API modèle. Les outils de l'API modèle créent dessk-ismset ouvrent le paiement des crédits ; la facturation des partenaires Embed reste séparée.
Liste de contrôle de sécurité
- Nommez les jetons par appareil ou par usage (
claude-laptop,cursor-ci). - Préférez une courte expiration pour les machines temporaires.
- Révoquez lorsque un ordinateur portable est perdu ou qu'un secret CI est renouvelé.
- Ne mettez jamais
pat-isms-…dans des dépôts publics, des captures d'écran ou des tickets de support.
L'utilisation est comptabilisée dans le cadre de votre abonnement et des limites de votre forfait de chat habituel, et non des crédits prépayés de l'API. Votre orchestrateur lit chaque réponse retournée comme entrée, donc le texte de la réponse compte également dans le contexte et l'utilisation de l'outil appelant.