Portées

Quand tu ajoutes Engram comme connecteur MCP, le client reçoit un jeton d’accès OAuth. Ce jeton porte une portée (scope) qui détermine ce que le client peut faire sur ton coffre.

Ce que le jeton accorde actuellement

Le point de terminaison MCP d’Engram propose aujourd’hui une seule portée monolithique : mcp.

Un jeton avec la portée mcp donne au client l’accès complet à toutes les fonctionnalités MCP : lire les notes, effectuer des recherches sémantiques, écrire des notes, modifier les dossiers, joindre des fichiers. Il n’est pas divisé en permissions par action, mais il est limité aux coffres que tu sélectionnes sur l’écran de consentement lorsque tu te connectes. Tu peux choisir des coffres spécifiques, ou tous les coffres (ce qui inclut les coffres que tu crées plus tard).

Des portées granulaires sont prévues

Découper mcp en portées par action (notes:read, notes:search, notes:write, notes:delete, folders:write, metadata:read) figure sur la feuille de route. Une fois livré, le flux du connecteur te permettra d’accorder le minimum d’autorisations dont un agent a besoin (« lire + chercher mais ne jamais écrire ») plutôt que l’autorisation tout ou rien actuelle.

Si les permissions granulaires comptent pour toi dès maintenant, la solution de contournement est de ne pas connecter d’agents à qui tu ne fais pas confiance pour écrire dans ton coffre. Il n’existe actuellement aucun moyen, dans le protocole, de restreindre l’autorisation une fois émise.

Auditer et révoquer l’accès

Dans l’application Engram, la section Paramètres → Connexions liste toutes les connexions OAuth actives et les clés API. Clique sur Révoquer pour les supprimer.

• Une clé API révoquée cesse de fonctionner immédiatement.
• Une connexion OAuth révoquée ne peut plus renouveler son accès et son jeton d’accès actuel expire en 15 minutes.

Grammaire des portées (pour les développeurs de SDK)

Le point de terminaison annonce les portées qu’il prend en charge via /.well-known/oauth-authorization-server. Les développeurs de SDK devraient lire ces métadonnées plutôt que de coder en dur des chaînes de portée, car le découpage granulaire y apparaîtra en premier.