Creare una chiave API dosya di sola lettura

Una credenziale Read only consente di elencare e scaricare, ma non di avviare caricamenti o modificare i dati archiviati. Usala per report, operazioni di lettura per copie di sicurezza o inventari.

Configurare un ambito di accesso compatibile

Il riquadro del permesso indica Può elencare e scaricare file. Non può caricare, spostare o eliminare nulla. Per un client REST, scegli API REST e, se vuoi, limita l’accesso a uno spazio di lavoro. Non associare una cartella alla chiave REST: le credenziali associate a una cartella funzionano solo tramite WebDAV o S3.

Il ruolo attuale deve comunque disporre di access_files; le risorse nascoste o bloccate restano soggette ai normali controlli.

Passaggi

1. Apri Profilo → Chiavi API, scegli Crea una chiave API e assegna un nome che identifichi il client di reportistica o download.
2. Scegli Read only in Cosa può fare?, poi apri Restrizioni e scadenza.
3. Consenti API REST, limita l’accesso allo spazio di lavoro desiderato quando possibile e imposta controlli di origine, utilizzo o scadenza adatti al tuo caso.
4. Premi Genera la chiave, copia il segreto, mostrato una sola volta, e salvalo nel sistema di credenziali del client.
5. Verifica l’operazione consentita con GET /api/files?workspace_id=wks_… e controlla che la risposta contenga l’elenco previsto.
6. Verifica l’operazione vietata con una richiesta POST /api/folders di prova; controlla che restituisca un errore 403 relativo all’ambito e che non sia stata creata alcuna cartella.

Limiti dell’ambito

REST considera GET, HEAD e OPTIONS operazioni di lettura. Gli endpoint POST documentati per il download in blocco sono classificati come operazioni di lettura perché restituiscono byte esistenti. Gli endpoint di caricamento e POST /api/folders richiedono il permesso di scrittura; per rinominare, spostare, condividere ed eliminare serve generalmente Full access.

La richiesta di cartella rifiutata restituisce This credential's scope is 'read' and cannot perform POST /api/folders. Un altro errore 403 può dipendere dalle regole dell’interfaccia, dal vincolo della chiave, dal ruolo o da un blocco e va esaminato separatamente.

La revoca elimina definitivamente la voce della chiave e programma l’invalidazione delle cache REST/S3. L’autenticazione in cache può rimanere valida fino a cinque minuti: ferma il client e verifica che il segreto revocato venga rifiutato prima di considerare chiuso l’accesso. Conserva una credenziale di lettura in produzione solo dopo aver verificato che l’elenco o il download previsto riesca e che la modifica venga rifiutata.

Risultato previsto

La credenziale restituisce i metadati o i file richiesti quando l’accesso è consentito. La prova di creazione viene rifiutata senza modificare i dati e la restrizione allo spazio di lavoro rimane attiva.

Guide correlate

• Creare una chiave API
• Scegliere gli ambiti della chiave