I token API personali consentono a un utente CMS che ha effettuato l'accesso di delegare il lavoro a uno strumento di intelligenza artificiale o operatore senza condividere una password o concedere l'autorità a livello di installazione. L'intelligenza artificiale agisce come quell'utente: ogni richiesta è limitata dalle impostazioni del token e dall'attuale accesso CMS dell'utente.

I token personali escludono deliberatamente aggiornamenti di sistema a livello di installazione, backup, manutenzione, plug-in, applicazioni integrate, domini, risorse di siti/pagine fisiche e rendering di amministrazione. Un super amministratore che deve automatizzare tali operazioni deve creare un token API di sistema separato. Ciò evita che un assistente personale diventi silenziosamente un operatore di installazione.

A Il token personale può eseguire un'operazione solo quando tutti questi controlli superano:

1. Il token è attivo e non è scaduto.
2. Il suo proprietario è ancora un utente CMS attivo.
3. La capacità richiesta è selezionata sul token.
4. L'attuale ruolo del proprietario consente ancora tale funzionalità.
5. Il sito di destinazione viene selezionato sul token e rimane accessibile al proprietario.
6. Lo stato attuale del flusso di lavoro della pagina consente al proprietario di apportare la modifica richiesta.
7. La richiesta proviene da una rete consentita, quando è configurata una lista consentita IP.
8. I limiti di richiesta specifici del token e a livello di installazione non sono stati superati.

La modifica del ruolo di un utente, delle assegnazioni del sito o dello stato attivo ha effetto alla successiva richiesta API. Un token non conserva mai l'autorità persa dal suo proprietario.

Il modulo token mostra solo le funzionalità che l'utente corrente può delegare. La selezione di una funzionalità rappresenta un limite superiore, non un modo per ignorare il ruolo.

1. Apri Profilo e seleziona Gestisci token API.
2. Immettere un nome che identifichi il cliente o il lavoro.
3. Seleziona i siti che l'IA può raggiungere.
4. Seleziona solo le capacità richieste dal lavoro.
5. Scegli un periodo di scadenza.
6. Imposta il limite di richiesta accanto al controllo della scadenza, sotto la selezione del sito consentito. Facoltativamente, configura una lista consentita IP in controlli di rete.
7. Seleziona Crea token.
8. Copia immediatamente il token. Il suo valore normale viene mostrato solo una volta.

Il pannello di successo fornisce l'URL di base dell'API, un esempio di variabile di ambiente e una richiesta di configurazione AI pronta per la copia. Fornisci il segreto solo allo strumento previsto e memorizzalo nell'archivio segreto di quello strumento.

• Modifica modifica nome, siti selezionati, funzionalità, scadenza rinnovata, lista consentita IP e limite massimo di richieste senza rivelare o sostituire il segreto.
• Activity mostra le ultime dieci richieste: risultato, ora, metodo, percorso senza stringa di query, percorso, funzionalità richiesta, IP e un agente utente abbreviato.
• Revoca impedisce immediatamente un'ulteriore autenticazione conservando il token e la cronologia delle attività.
• Elimina rimuove permanentemente il token e la relativa cronologia delle attività.

Corpi di richiesta e risposta, stringhe di query, valori di connessione, hash di token e anteprime di token non vengono mai archiviati nelle righe di attività.

La lista consentita accetta un indirizzo IPv4/IPv6 esatto o una rete CIDR per riga, ad esempio:

Lasciare l'elenco vuoto per consentire qualsiasi rete. Scegli un tetto specifico per token di 30, 60, 120 o 300 richieste al minuto. I token esistenti senza un limite memorizzato utilizzano 60 richieste al minuto. La limitazione API a livello di installazione è ancora valida, quindi il limite effettivo è il limite applicabile più basso.

I controlli di rete utilizzano l'IP client risolto da Laravel. Quando l'host si trova dietro un sistema di bilanciamento del carico, un proxy inverso o una CDN, configura la gestione del proxy attendibile di Laravel per gli indirizzi proxy effettivi e le intestazioni inoltrate. Verifica l'indirizzo risolto prima di abilitare una lista consentita restrittiva. Non fidarti delle intestazioni inoltrate da client Internet arbitrari; in caso contrario un chiamante potrebbe falsificare l'indirizzo utilizzato dalla policy.

Configura i valori generati nell'archivio segreto attendibile dello strumento:

Lo strumento deve prima chiamare GET /webadmin/api. Il rilevamento autenticato restituisce le sue funzionalità, la politica di rete personale, OpenAPI e collegamenti alla guida e i passaggi successivi consigliati. Deve convalidare i piani di contenuto prima di applicarli e richiedere l'approvazione esplicita dell'utente prima di operazioni di pubblicazione o distruttive.

Tutti gli errori API sono JSON e includono collegamenti di rilevamento pubblici sicuri ove disponibili.

• Crea un token per AI, integrazione o lavoro limitato.
• Offrigli il minor numero di siti e funzionalità di cui ha bisogno.
• Preferisci scadenze brevi e rinnova deliberatamente.
• Utilizza una lista consentita IP in uscita stabile quando la piattaforma AI ne fornisce una.
• Rivedi l'attività recente dopo la configurazione iniziale e dopo un lavoro delicato.
• Revoca immediata se potrebbe essere stato svelato un segreto.
• Non incollare mai token in ticket, registri, screenshot, controllo del codice sorgente o prompt che potrebbero essere conservati da servizi non correlati.

Vedere Internal Content API, Utenti e autorizzazioni e Sicurezza per l'API, il ruolo e la distribuzione sottostanti confini.