# Permissions des intégrations et propriété des clés API

Source: https://docs.coworkies.com/fr/integrations/permissions/

> Comprenez qui peut connecter Slack et MCP, publier des offres, créer ou révoquer des clés API, et les effets des changements de rôle et d’abonnement.

> **My own jobs** est déployé pour Slack et le serveur MCP hébergé. Les intégrations clientes GPT/ChatGPT et Claude restent non testées et non déployées.

L’accès dépend des droits du compte Coworkies, du compte de recrutement choisi et des permissions de l’identifiant. L’adhésion à Slack, l’installation et les coordonnées de l’employeur ne prouvent pas la propriété.

## Qui peut faire quoi ?

| Personne ou identifiant | Connecter et gérer les offres | Créer des clés API d’espace |
| --- | --- | --- |
| Recruteur individuel vérifié | Ses propres offres sans espace associé ; Pro non requis. | Connexion par compte ; pas de clé personnelle en libre-service. |
| Propriétaire d’espace Coworkies | Oui, pour son espace éligible et ses permissions. L’accès privé MCP exige aussi exactement un espace Pro confirmé éligible. | Oui, pour un espace Pro confirmé qu’il gère. |
| Membre de l’équipe Coworkies avec le rôle `staff` | Mêmes droits sur les offres que le propriétaire, y compris celles créées par d’autres membres de l’équipe. | Oui, pour un espace Pro confirmé qu’il gère. |
| Membre ordinaire de l’espace | Aucun droit automatique de gestion ou publication. | L’adhésion seule ne donne pas ce droit. |
| Membre, administrateur ou installateur Slack | L’installation et l’adhésion ne donnent aucun droit Coworkies. Chaque personne se connecte séparément. | Aucun droit lié au rôle Slack. |
| Détenteur d’une clé d’espace ordinaire valide | Peut exercer les permissions du propriétaire de la clé. La saisie native Slack n’authentifie pas séparément son compte Coworkies. | Détenir la clé ne donne pas les droits de gestion des clés du compte sur le site. |
| Administrateur plateforme ou importateur approuvé | Privilèges distincts contrôlés explicitement côté serveur ; une intégration ordinaire ne les accorde pas. | L’administration plateforme suit des règles distinctes. |

La connexion personnelle nécessite un compte actif et vérifié. Pour gérer un espace, il faut aussi un rôle actuel de propriétaire/membre de l’équipe dans cet espace confirmé. Être salarié ne crée pas automatiquement la relation `staff` dans Coworkies.

## L’accès varie selon l’intégration

| Méthode | Choix d’espace et accès |
| --- | --- |
| Clé d’espace REST ordinaire | Les opérations suivent l’espace, les permissions de la clé et les droits actuels de son propriétaire. |
| Connexion Slack par compte | Choisissez My own jobs ou un espace confirmé que vous gérez ; Pro non requis. |
| Clé API native Slack | La clé détermine l’espace et délègue les droits de son propriétaire. Lecture et écriture des offres sont nécessaires. |
| Découverte MCP OAuth | Compte actif et vérifié avec permission de découverte. |
| Offres privées MCP OAuth | My own jobs avec permissions explicites, ou exactement un espace Pro confirmé éligible avec rôle propriétaire/équipe. Le consentement choisit le compte de recrutement. |
| Clé API directe MCP | Découverte publique uniquement, même si la clé peut écrire via REST. |
| Plugin GPT / connecteur Claude | **Pas encore testés ni déployés.** Aucun accès client vérifié n’est promis. |

## Qui peut créer, consulter, renouveler et révoquer les clés ?

- Un propriétaire ou membre de l’équipe peut créer une clé pour un espace Pro confirmé qu’il gère actuellement. Les clés ordinaires sans espace ne peuvent pas gérer les offres.
- La limite est de **10 clés actives et non expirées par compte**, identifiants d’assistant compris.
- La clé ordinaire complète n’est affichée qu’à la création ou à la rotation. Les gestionnaires voient ses métadonnées, sans pouvoir récupérer le secret.
- **Seul le créateur peut effectuer une rotation.** Celle-ci révoque l’ancien secret ; mettez immédiatement les clients à jour.
- **Le créateur ou un administrateur plateforme peut révoquer la clé.** Être propriétaire de l’espace ne permet pas automatiquement de révoquer la clé personnelle d’un autre membre de l’équipe.
- Seul un administrateur plateforme peut attribuer la permission `admin`. Un préfixe de clé ou nom d’intégration ne prouve aucun droit.

**Pro est imposé côté serveur lors de la création ou rotation d’une clé API ordinaire en libre-service.** La clé doit appartenir à un espace Pro confirmé que vous gérez ; la création sans espace est refusée. L’émission par un administrateur plateforme reste distincte. Les identifiants internes Slack et les autorisations MCP personnelles et de découverte utilisent des méthodes contrôlées par le serveur, sans clé Pro manuelle. Les clés existantes ne sont pas révoquées automatiquement ; leur expiration, leurs permissions et le rôle actuel restent vérifiés. Une rotation refusée conserve la clé d’origine.

Consultez [Créer et gérer les clés API](https://docs.coworkies.com/fr/spaces/api-keys/) pour les étapes. Utilisez `GET /v2/auth/key` via l’API REST authentifiée pour vérifier les permissions effectives et l’espace d’une clé.

## Une permission ne remplace pas les droits sur l’espace

`jobs:read` et `jobs:write`, ou leurs permissions parentes prises en charge, contrôlent les offres REST. Les droits sur l’espace et la validité du compte et de la clé sont également vérifiés. `spaces:write` et `offers:write` exigent des permissions explicites ; `write` seul ne les inclut pas. MCP désactive actuellement les écritures de profil et d’offres commerciales, quelles que soient les permissions REST.

Un gestionnaire agit sur les offres du compte de recrutement choisi, pas celles d’un autre espace. L’e-mail de contact d’une offre ne donne aucun droit de propriété. Utilisez des clés dédiées par usage et personne ; partager une clé de gestionnaire délègue ses droits.

## Soumettre ne garantit pas la publication

Les règles serveur de recrutement, de crédit disponible et de paiement déterminent si une offre devient active ou reste en brouillon/attente de paiement. Une soumission payante sans crédit disponible peut rester un brouillon. Vérifiez la réponse et terminez le paiement sur Coworkies ; aucune intégration ne garantit une publication gratuite ou illimitée. Consultez les [Formules des espaces](https://docs.coworkies.com/fr/spaces/plans/).

## Que se passe-t-il quand l’accès change ?

| Changement | Effet |
| --- | --- |
| Clé expirée/révoquée ou compte désactivé | Les opérations autorisées suivantes échouent. Le renouvellement OAuth est aussi bloqué si son identifiant ou compte est invalide. |
| Perte du rôle de gestion du propriétaire de la clé | Les opérations privées sur l’espace s’arrêtent. |
| Perte de Pro | L’accès privé MCP lié à cet espace s’arrête ; cela seul ne révoque pas les droits REST ordinaires ou Slack. Les règles de publication restent applicables. |
| Déconnexion Slack par compte | La révocation de l’identifiant distinct est mise en attente ; collègues et offres publiées ne sont pas affectés. |
| Déconnexion d’une clé native Slack | La copie stockée est supprimée ; la clé d’origine reste active. |
| Révocation d’une autorisation OAuth MCP | Les autorisations distinctes des autres clients restent indépendantes. |
| Requête déjà envoyée avant déconnexion | La déconnexion ne rappelle pas l’écriture en cours. Vérifiez le résultat avant de réessayer. |

Gardez les identifiants hors des messages, captures, journaux et URL. Pour la configuration et la récupération, consultez [Slack](https://docs.coworkies.com/fr/integrations/slack/) et [MCP](https://docs.coworkies.com/fr/integrations/mcp/).

## Recrutement individuel sans espace

Choisissez **My own jobs** lors de la connexion par compte. Seules les offres créées par votre utilisateur Coworkies sans espace associé sont accessibles. Le nom de l’entreprise, l’adresse de contact et l’adhésion à Slack ne donnent aucun droit sur les offres d’autrui. Une ancienne clé sans espace ne reçoit aucun nouvel accès ; les clés API manuelles restent une fonctionnalité des espaces Pro.

Les requêtes de recrutement personnel partagent **20 requêtes par minute et 1 000 par jour UTC** par utilisateur, entre MCP et Slack, vérifications d’identité comprises. Renouveler une clé ou ajouter une connexion n’augmente pas cette limite. Si le stockage des quotas est indisponible, les opérations sont refusées avec `503` ; la déconnexion reste possible. Les limites de découverte MCP et les crédits de publication payante sont distincts.

Le formulaire Slack et l’aperçu MCP proposent **Free** ou **Standard** (`listing_option: "free"` ou `"standard"`). Standard est la valeur par défaut. Free utilise l’annonce de base de 30 jours sans promotion payante ; Standard utilise un crédit disponible ou enregistre un brouillon nécessitant un paiement. Consultez toujours le résultat. MCP permet de modifier et republier les offres ; dans Slack, utilisez le formulaire, la liste des offres actives et la dépublication, puis [Mes offres](https://www.coworkies.com/jobs/my-jobs) pour les brouillons et les autres modifications.