Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Prochaine révision		Révision précédente
smartauth:start [2025/09/02 13:36] – créée caprelsmartauth:start [2025/09/17 13:17] (Version actuelle) – caprel
Ligne 3: Ligne 3:
 Nativement Dolibarr propose une API et chaque utilisateur peut disposer d'une seule clé d'API qui donne accès à tout le périmètre fonctionnel auquel l'utilisateur a accès. Nativement Dolibarr propose une API et chaque utilisateur peut disposer d'une seule clé d'API qui donne accès à tout le périmètre fonctionnel auquel l'utilisateur a accès.
  
-Ce fonctionnement ne me satisfait pas : je veux pouvoir développer une application mobile qui via l'API ne devrait avoir accès qu'à l'agenda de l'utilisateur et rien d'autre. +Ce fonctionnement ne nous satisfait pas : par exemple si vous voulez développer une application mobile qui ne devrait avoir accès qu'à l'agenda de l'utilisateur et rien d'autre ça n'est pas vraiment possible en l'état actuel: si vous utilisez la clé d'API native de dolibarr liée à l'utilisateur l'application pourra également accéder aux factures et autres éléments auxquels l'utilisateur a accès.
- +
-Si je configure la clé d'API native de dolibarr lié à l'utilisateur l'application pourra également accéder aux factures et autres éléments.+
  
 C'est particulièrement problématique d'un point de vue du cloisonnement des accès. C'est particulièrement problématique d'un point de vue du cloisonnement des accès.
  
-La "solution" classique des utilisateurs de dolibarr est de créer un 2° utilisateur ayant moins de droits et de configurer la clé d'API de cet utilisateur sur l'application agenda ... mais seulement voilà c'est un autre utilisateur et l'agenda de l'utilisateur 2 n'est pas celui de l'utilisateur 1 ... ce qui oblige ensuite à faire des contorsions.+La "solution" (contournement) classique est de créer un 2° utilisateur ayant moins de droits et de configurer la clé d'API de cet utilisateur sur l'application agenda ... mais seulement voilà c'est un autre utilisateur et l'agenda de l'utilisateur 2 n'est pas celui de l'utilisateur 1 ... ce qui oblige ensuite à faire des contorsions techniques. 
 + 
 +Notre approche avec SmartAuth est de dire qu'un utilisateur peut avoir autant de clés d'API qu'il souhaite, chaque clé ayant des droits et si une clé est liée à une application elle ne devra pas être réutilisée par une autre (pour éviter le "vol" de clé). 
 + 
 +C'est ce que vous pouvez observer lorsque vous utilisez des applications comme NextCloud : lorsque votre smartphone créé le 1er lien vers votre serveur NextCloud une clé d'API spécifique est générée. Ainsi si vous vous faites voler votre smartphone vous pourrez supprimer uniquement cette clé et en générer une nouvelle pour votre nouveau smartphone. 
 + 
 +{{.:pasted:20250903-082553.png?direct}} 
 + 
 +Vous aurez également accès aux journaux de connexion qui vous permettront de détecter des actions incorrectes et/ou de gérer les accès
  
-Notre approche avec SmartAuth est de dire qu'un utilisateur peut avoir autant de clés d'API qu'il souhaite, chaque clé ayant des droits et si une clé est liée à une application elle ne devra pas être réutilisée par une autre.+{{.:pasted:20250903-082923.png?direct}}
  
 +Avec l'implémentation actuelle de dolibarr si votre clé est compromise par le vol de votre smartphone vous devrez reconfigurer TOUS les périphériques sur lesquels vous avez configuré votre clé pour en mettre une nouvelle !
  
-Le dépôt de smartAuth est ici https://inligit.fr/cap-rel/dolibarr/plugin-smartauth/ et ne vous arrêtez pas à [la doc](https://inligit.fr/cap-rel/dolibarr/plugin-smartauth/-/wikis/home) elle est loin d'être à jour+Le dépôt de smartAuth est ici https://inligit.fr/cap-rel/dolibarr/plugin-smartauth/ et ne vous arrêtez pas à [la doc](https://inligit.fr/cap-rel/dolibarr/plugin-smartauth/-/wikis/home) qui n'est pas forcément à jour.