Documentation

Utilisateurs, groupes et sécurité

Comptes, groupes, droits de style Linux, partage de fiches, journal et durcissement.

Utilisateurs

Les utilisateurs se trouvent sous Paramètres → Utilisateurs. Chacun a un nom d’utilisateur, un nom complet, un courriel, une langue, un groupe principal, une date d’expiration optionnelle et un indicateur de désactivation. Un utilisateur peut aussi être marqué root — root contourne toutes les vérifications de droits; limitez-le à un ou deux comptes.

Pour Google Workspace, chaque utilisateur porte aussi un google_workspace_email (l’identité que le compte de service emprunte), un identifiant d’agenda et un identifiant de dossier racine Drive. Voir Google Workspace.

Groupes

Les groupes (Paramètres → Groupes) sont l’unité de partage et de permissions. Un utilisateur a un groupe principal et peut appartenir à plusieurs autres. Les nouvelles fiches sont estampillées du créateur et de son groupe principal.

Droits

BillBoy utilise le modèle de droits d’ApiGoat, familier si vous connaissez les permissions de fichiers Linux. Pour chaque module, un utilisateur (ou groupe) reçoit trois ensembles de droits — tous, propriétaire et groupe — combinant chacun lecture, création, modification et suppression :

Les listes sont filtrées automatiquement selon ces règles : un vendeur avec des droits propriétaire+groupe sur les contacts voit ses contacts et ceux de son équipe, rien d’autre. Le même filtre s’applique à l’API REST et aux outils MCP.

Partager un contact

Un contact peut être partagé avec d’autres groupes depuis l’onglet Partage de sa fiche. Les groupes partagés obtiennent l’accès en lecture via leurs droits de groupe sans changer le propriétaire.

Permissions par route

Au-delà des droits sur les fiches, chaque route (liste, édition, action personnalisée, point d’API) est inscrite dans Paramètres → API RBAC avec un indicateur public et les groupes autorisés à l’appeler. C’est ce qui rend un point comme /api/v1/Contact accessible à un groupe et invisible pour un autre.

Journal d’audit

Paramètres → Utilisateurs → Journal enregistre chaque tentative de connexion avec horodatage, nom d’utilisateur, résultat et IP. Les appels d’API sont journalisés séparément sous Paramètres → Journal d’API, y compris les appels MCP faits au nom d’un utilisateur.

Liste de durcissement

• Servez /.admin uniquement en HTTPS; mettez app_status en production dans .env.
• Utilisez un seul compte root, protégé par un long mot de passe, et donnez des droits de groupe à tous les autres.
• Gardez .env, secrets/ et le JSON du compte de service hors de la racine web ou refusés par le serveur.
• Exécutez le cron avec les mêmes permissions que l’utilisateur web — pas root.
• Sauvegardez la base de données et le répertoire files/; les fichiers sur Drive sont déjà chez Google.