Documentation

Authentification

Choisis entre une clé d’API aux portées définies par son propriétaire et un jeton OAuth borné par le consentement de l’utilisateur.

Choisir son chemin

La règle tient en une question : le programme agit-il pour TOI, ou pour quelqu’un d’autre ? Pour toi — un script, un cron, un agent que tu héberges — prends une clé d’API. Pour un tiers dont tu ne veux pas détenir le compte, passe par OAuth.

Clé d’API — ton programme, en ton nom

Tes scripts, ton serveur, ta CI, ton agent à toi. Personne d’autre que toi n’est dans la boucle : tu crées la clé dans tes réglages, tu la poses dans un en-tête, il n’y a ni écran de consentement ni jeton à rafraîchir. C’est notre chemin machine-à-machine — la place que tient `client_credentials` ailleurs.

Ce qu’on présente: Authorization: Bearer kaneme_… — 5 clés actives au plus, affichée une seule fois.
Ce que ça autorise: Tu choisis ses portées à la création. Lire, mesurer, écrire et générer sont proposés ; publier un certificat et gérer le cycle de vie restent décochés par défaut.
Comment on coupe: Révocable à l’unité dans Connexions. La révocation prend effet à l’appel suivant : rien n’est mis en cache côté serveur.

La limite : Les droits d’une clé ne peuvent pas être élargis après sa création : révoque-la et crée-en une autre. Les clés historiques gardent leur accès total pour ne pas casser une intégration existante.

OAuth — un agent, au nom de quelqu’un

Un client MCP (Claude et les autres) ou un produit tiers qui agit pour un utilisateur de Kaneme, y compris quand cet utilisateur n’est pas toi. Le client s’enregistre tout seul, l’utilisateur voit ce qui est demandé et coche.

Ce qu’on présente: Code d’autorisation, jeton émis par notre serveur d’auth. Le 401 du serveur MCP annonce lui-même où lire les métadonnées (RFC 9728).
Ce que ça autorise: 6 portées, cochées une par une. Ce qui dépense est séparé de ce qui lit : générer dans ta voix et la lire ne partagent pas une case.
Comment on coupe: Chaque agent connecté est listé dans Connexions, avec ce qu’il a obtenu, et se révoque d’un clic. La révocation coupe le DROIT tout de suite ; le jeton déjà émis, lui, reste valide jusqu’à son expiration — il ne donne alors plus accès à rien.

La limite : Le jeton prouve QUI, jamais QUOI : notre serveur d’auth ne connaît pas nos portées. C’est nous qui enregistrons l’octroi au consentement et qui l’appliquons à chaque appel. Un serveur de ressources ne fait jamais confiance à une portée qu’il n’a pas validée lui-même — c’est la règle du protocole, pas une précaution de plus.

Les portées OAuth

Sur les 6, « émettre un certificat public » et « gérer le cycle de vie de tes contenus » arrivent décochées : l’utilisateur doit les vouloir.

voice:read — Lire tes voix et ton compte: Tes voix, leurs textes de référence, tes convictions, tes documents, tes crédits restants. Aucune modification, aucun crédit consommé.
voice:measure — Mesurer un texte contre ta voix: Score de fidélité, verdict d’auteur (Q1 et Q2), comparaison de deux écritures. Consomme des crédits de voix — sauf le score de style, qui est gratuit.
voice:write — Créer et modifier tes voix et tes documents: Créer une voix, y ajouter des textes, créer et modifier des documents, ranger des sources. Consomme des crédits de voix.
voice:generate — Écrire dans ta voix: Produire un texte signé de ta voix, ou réaligner un texte existant. C’est le geste qui parle à ta place. Consomme des crédits de voix.
voice:certify — Émettre un certificat public: Préparer puis publier un certificat public qu’un tiers peut vérifier. L’émission consomme le prix annoncé par estimate_cost ; la préparation est gratuite.
voice:manage — Gérer le cycle de vie de tes contenus: Portée séparée pour archiver, mettre à la corbeille, restaurer, expirer ou révoquer. Gratuit en crédits ; aucun effacement définitif n’est permis depuis une clé ou un agent.

Mesurer sans écrire est une portée à part entière : `voice:measure` se coche seule, sans `voice:generate` ni `voice:write`. Un prestataire mandaté peut donc vérifier sa livraison contre la voix de son client — sans jamais pouvoir écrire avec, ni la modifier. Le titulaire accorde l’accès, et le retire quand il veut.