Sécurité

Comment fonctionne l’accès, ce qu’est un ID et ce qu’il n’est pas, et comment signaler une vulnérabilité.

​

Comment fonctionne l’accès

Trois conditions doivent toutes être réunies avant que votre PMS ne voie une propriété :

1. Identifiant PMS. La clé est valide, à jour, et appartient à l’environnement que vous appelez.
2. Scope. La clé porte le scope exigé par la route : properties:read pour lister et lire les propriétés.
3. Connexion. L’hôte de la propriété a connecté cette propriété à votre PMS. Un scope n’accorde jamais une propriété à lui seul.

Si l’une des trois fait défaut, vous recevez respectivement 401, 403 ou 404. Une propriété que vous n’avez pas le droit de voir répond exactement comme une propriété qui n’existe pas.

​

Un ID de propriété n’est pas un identifiant d’accès

Un id de propriété est un identifiant. Le connaître n’accorde rien : seules les trois conditions ci-dessus le font. Vous pouvez stocker et journaliser les ID librement, mais traitez votre identifiant PMS comme un secret (consultez Authentification).

​

Minimisation des données

L’API ne partage que ce dont un PMS a besoin pour faire correspondre une propriété. Consultez Propriété des données pour savoir ce qui n’est jamais partagé.

​

Signaler une vulnérabilité

Si vous découvrez un problème de sécurité dans l’API PMS Tatallo ou sur ce site, écrivez à [e-mail] en mettant Security dans l’objet. Merci de ne pas le divulguer publiquement, et de ne pas accéder à des données qui ne vous appartiennent pas pendant votre investigation. Indiquez ce que vous avez trouvé, comment le reproduire, et les identifiants de requête éventuels. Tatallo confirme la réception et vous tient informé jusqu’à la correction.

Si vous pensez que l’une de vos clés a fui, dites-le dès la première ligne : Tatallo la révoque aussitôt et vous en émet une nouvelle.