Le retrait des accès fonctionne sur les applications sans API d'administration
Un jeton OAuth est accordé par une personne et ne porte que ce que cette personne a le droit de faire via l'API publique. Pour un bon nombre d'applications, retirer un accès n'y figure tout simplement pas. Slack ne permet pas de désactiver un membre par ce biais. Figma ne libère pas un siège. Notion et Keycloak ont le même trou. Résultat : un départ traité partout, sauf sur la poignée d'outils où cela comptait le plus.
Un compte de service comble ce manque. Vous enregistrez une fois les identifiants d'un compte d'administration, Lutril les chiffre, et il s'en sert pour les écritures que le jeton OAuth ne peut pas faire. Le compte vous appartient, les actions qu'il réalise sont journalisées à son nom, et vous pouvez le révoquer à tout moment sans toucher au reste de l'intégration.
La règle qui l'encadre est volontairement stricte. La connexion est vérifiée avant toute tentative de retrait, et tant que le compte de service n'est pas prêt, Lutril n'essaie pas quand même pour signaler l'échec ensuite. Il propose la voie manuelle, avec la marche à suivre. Un retrait qui échoue en silence est pire qu'un retrait jamais promis, parce que la revue d'accès l'enregistre comme fait.
La configuration se trouve dans les paramètres de l'intégration, à côté de la connexion OAuth. Slack, Figma, Notion et Keycloak sont couverts aujourd'hui.