Comptes de service

Une identité pour un logiciel — une intégration, une exportation planifiée, le service d'assistance — qui joue des rôles similaires à ceux d'une personne, ne se connecte jamais à la console et n'est jamais sollicitée pour une deuxième étape.

L'authentification à deux facteurs est adaptée à tous les utilisateurs, mais inadaptée aux scripts : un programme qui se connecte avec un mot de passe se voit demander un code qu'il ne peut pas saisir. Un compte de service est l'identité utilisée par le logiciel à la place. Il possède les mêmes rôles et les mêmes droits d'accès qu'un utilisateur, et toutes les autorisations d'écran, les restrictions d'unité organisationnelle et les règles de responsabilité s'appliquent. Cependant, il n'a pas de mot de passe connu de tous, le formulaire de connexion le refuse et il ne peut pas utiliser les parties personnelles ou interactives de la console (préférences, personnalisation, tableau de bord, assistant, configuration à deux facteurs, console système).

1. Ouvrez la plateforme → Accès et sécurité → Accès → Comptes de service (à côté d'Utilisateurs) et choisissez Nouveau compte de service.
2. Donnez-lui une adresse qui indique sa finalité (nightly-export@service.yourcompany), un nom et une phrase décrivant sa fonction.
3. Cochez ses rôles. Attribuez-lui le rôle le plus précis qui permette de réaliser la tâche : un rôle avec l’affichage des bons de commande et rien d’autre est une clé qui peut lire les bons de commande et rien d’autre.
4. Vous pouvez éventuellement limiter son utilisation à des adresses (une adresse IP ou une plage IPv4 telle que 203.0.113.0/24), raccourcir la durée de vie du jeton ou lui attribuer une date d'expiration.
5. Créez-le. Le secret n'est révélé qu'UNE SEULE FOIS ; copiez-le dans le programme qui l'utilisera. Il est stocké uniquement comme une empreinte digitale et ne peut être relu.

Le programme échange le secret contre un jeton valable quelques minutes, et envoie ce jeton à chaque appel comme n'importe quel autre jeton porteur :

POST /api/auth/service-token
{ "client_id": "nightly-export@service.yourcompany", "secret": "txs_…" }

→ { "token": "…", "expires_in": 3600, "companies": [ … ] }

GET /api/scm/purchase-orders
Authorization: Bearer <token>
X-Company: <company id>

• Le nouveau secret remplace l'ancien et l'annule immédiatement. Les jetons déjà émis expirent sauf si vous les désactivez.
• La commande Revoke supprime le secret ET met fin à chaque jeton actif lors de sa prochaine requête.
• La désactivation supprime le compte ; son nom reste toutefois visible sur chaque ligne d’audit sur laquelle il a été inscrit.
• Chaque jeton correspond à une session : il apparaît sous Plateforme → Accès → Sessions Web et utilisateur, et peut y être terminé comme pour n’importe quelle autre session.
• Les identifiants erronés entraînent le même blocage qu'un mot de passe incorrect, et chaque échange est consigné dans le journal d'audit.
• Une personne qui peut gérer des comptes de service mais qui n'est pas administrateur ne peut attribuer que les rôles qu'elle détient elle-même, et jamais le rôle d'administrateur.

Le compte du service d'assistance

Chaque déploiement inclut un compte de service qu'il n'a pas eu à créer : support-desk@service.tranxact. Ce compte est provisionné automatiquement par le déploiement à partir d'une clé secrète définie par le fournisseur lors de l'installation. Ainsi, aucune intervention de votre entreprise n'est requise pour que vos tickets soient traités. Ce compte possède le rôle de support technique au sein de chaque entreprise ; il permet de lire et de répondre aux tickets de support et à leurs pièces jointes, sans ouvrir aucun module ni autre écran. Il est indiqué comme « défini par le déploiement » ; sa révocation relève de votre seule responsabilité et le déploiement ne pourra pas annuler cette décision.