Rôles de l'espace de travail et RBAC personnalisé

Elido dispose de quatre rôles d'espace de travail intégrés. Ils couvrent la plupart des équipes ; les rôles personnalisés sur Business permettent d'affiner quand « Administrateur » est trop et « Éditeur » est trop peu.

Rôles intégrés#

Rôle	Liens	Membres	Domaines	Facturation	Journal d'audit
Propriétaire	LÉ	LÉ	LÉ	LÉ	L
Administrateur	LÉ	LÉ	LÉ	L (lecture seule)	L
Éditeur	LÉ	L	L	—	L (ses propres actions uniquement)
Spectateur	L	L	L	—	—

L = lecture, LÉ = lecture/écriture, — = pas d'accès. La matrice est une simplification — voir les notes par zone ci-dessous pour les détails.

Ce que chaque rôle peut réellement faire#

Propriétaire. Le rôle utilisé par celui qui a créé l'espace de travail et toute personne qu'il a promue. Les Propriétaires sont le seul rôle qui peut :

Modifier le plan de facturation ou le mode de paiement.
Supprimer l'espace de travail.
Promouvoir/rétrograder d'autres Propriétaires.

Un espace de travail doit toujours avoir au moins un Propriétaire. Si le dernier Propriétaire part, le système promeut automatiquement l'Administrateur le plus anciennement en poste.

Administrateur. Administration quotidienne de l'espace de travail sans accès à la facturation. Les Administrateurs gèrent les liens, les domaines, les webhooks, les membres et les intégrations. Ils peuvent consulter les pages de facturation mais ne peuvent pas modifier les cartes ou les plans.

Éditeur. Par défaut pour les contributeurs individuels. Peut créer/modifier/supprimer des liens, exécuter des imports en masse, générer des codes QR et gérer les webhooks. Ne peut pas inviter des personnes, modifier les paramètres de l'espace de travail ou ajouter des domaines personnalisés.

Spectateur. Lecture seule dans tout le tableau de bord. Voit les liens et les analyses ; ne peut cliquer sur aucun bouton d'action. Utile pour les parties prenantes, les auditeurs et les utilisateurs BI/Looker en lecture seule.

Rôles personnalisés (tarif Business)#

Les espaces de travail Business peuvent définir des rôles personnalisés avec une liste de permissions à cocher. L'ensemble des permissions :

links.read / links.write
analytics.read
domains.read / domains.write
members.read / members.write
billing.read / billing.write
audit_log.read
webhooks.write
api_keys.create (émettre des clés avec un rôle ≤ au vôtre)
qr.read / qr.write
bio.write
branding.write (personnalisation marque blanche)

Créez-en un dans Paramètres → Rôles → Nouveau rôle. Choisissez un nom, cochez les permissions, enregistrez. Assignez à un membre depuis la ligne du membre dans la liste des membres. Les rôles peuvent être modifiés ultérieurement ; les modifications se propagent dans les 60 secondes.

Rôles et clés API#

Les clés API sont liées à un rôle. Une clé API éditeur peut écrire des liens ; une clé API admin peut faire tout ce qu'un utilisateur admin peut faire. Émettre une clé avec un rôle supérieur à votre propre rôle dans l'espace de travail n'est pas autorisé — l'API rejette avec 403.

La rétrogradation d'un utilisateur ne révoque pas automatiquement ses clés API. Elles conservent le rôle qu'elles avaient lors de leur émission. Pour appliquer la rétrogradation, révoquez explicitement les clés de l'utilisateur depuis Paramètres → Clés API → Gérer les clés utilisateur.

Transférer la propriété#

Pour transmettre la propriété à quelqu'un d'autre :

Ouvrez la ligne du membre → Définir le rôle : Propriétaire.
Optionnellement, rétrогradez votre propre rôle à Administrateur ou moins.

Il n'y a pas d'assistant « transférer l'espace de travail » — chaque Propriétaire a des droits égaux, et vous pouvez avoir autant de Propriétaires que vous le souhaitez. Pour un transfert propre, promouvez d'abord le nouveau Propriétaire, confirmez qu'il a accès, puis rétrogradez-vous.

Supprimer un membre#

Les membres supprimés perdent immédiatement l'accès au tableau de bord. Leurs clés API personnelles sont révoquées dans les 60 secondes. Les liens qu'ils ont créés restent la propriété de l'espace de travail (pas de l'utilisateur), donc rien ne se casse du côté des liens.

Les entrées du journal d'audit créées par le membre supprimé sont conservées indéfiniment — la suppression n'anonymise pas l'historique.

Résolution des problèmes#

Un utilisateur dit qu'il ne peut pas voir un lien qu'il a créé. Vérifiez son rôle — si vous l'avez rétrogradé en Spectateur, il peut toujours voir le lien s'il est dans l'espace de travail, mais il ne peut pas le modifier. Si vous l'avez également déplacé hors du dossier, restaurez l'accès au dossier.

La clé API fonctionne pour un utilisateur même après que je l'ai rétrogradé. Les clés API conservent leur rôle d'origine. Révoquez la clé depuis Paramètres → Clés API pour forcer une réémission.

Le rôle personnalisé manque d'une permission dont j'ai besoin. L'ensemble des permissions est fixe (voir la liste ci-dessus). Si quelque chose de vraiment critique manque, envoyez un e-mail à support@elido.app avec le cas d'utilisation — nous ajoutons des capacités à l'ensemble des permissions quand il y a une demande.

Changement de rôle en masse. Utilisez l'API SCIM : les appartenances aux groupes dans votre IdP se mappent aux rôles dans Elido. Voir SSO + SCIM pour la configuration. Les rôles contrôlés par SCIM ne peuvent pas être modifiés dans le tableau de bord — ils correspondent à ce que dit l'IdP.