Authentification.

Cinq familles d’identifiants, chacune ouvrant exactement une surface. Cette page en dresse la carte, puis approfondit les deux que vous émettrez le plus : les clés API wt_ avec leurs scopes, et OAuth pour les applications tierces.

tokens ▸ la carte

Cinq identifiants, cinq surfaces.

Chaque identifiant ouvre exactement une tranche de Writ. Le moyen le plus rapide de déboguer un 401 est de vérifier la paire : quel token, sur quelle surface.

wt ▸ clés + scopes

Clés API : un en-tête, une portée serrée.

Une clé est wt_ suivi de 43 caractères URL-safe. Le secret est affiché une seule fois à la création et stocké haché — les listes et journaux ne montrent qu’un court préfixe non secret. Envoyez-la comme token Bearer :

curl https://api.usewrit.app/api/v1/workflows \
  -H "Authorization: Bearer $WRIT_API_KEY"

headers = {"Authorization": f"Bearer {os.environ['WRIT_API_KEY']}"}

const headers = { Authorization: `Bearer ${process.env.WRIT_API_KEY}` };

req.Header.Set("Authorization", "Bearer "+os.Getenv("WRIT_API_KEY"))

let req = client.get(url).bearer_auth(std::env::var("WRIT_API_KEY")?);

Scopes : resource:action

Les actions sont read, write, execute et delete, sur dix-sept ressources. Une clé ne porte que les scopes que vous lui accordez — et les ressources épinglables peuvent être restreintes davantage, à des ids précis.

Trois presets couvrent la plupart des clés : read_only (chaque :read), run (:read + :execute) et full (tout, suppression comprise). transfer est exclu de chaque preset et doit être accordé à la main. Les jokers se développent en scopes concrets au moment de l’octroi, si bien qu’une clé ne peut jamais s’élargir en silence — et l’application est en refus par défaut : une route qui n’est pas explicitement ouverte aux clés API les refuse.

oauth ▸ applications tierces

OAuth : PKCE, sans client secret.

La surface OAuth est faite pour les clients publics : PKCE est obligatoire, il n’y a pas de client secret, et les clients peuvent s’enregistrer eux-mêmes via l’enregistrement dynamique RFC 7591. Les tokens d’accès portent le préfixe wto_ (l’héritage pso_ reste accepté) et fonctionnent sur /api/* et les serveurs publiés /mcp/{slug}.

Les scopes OAuth forment un ensemble séparé, plus petit — treize — et un octroi plafonne au rôle operator, jamais admin :

compte ▸ sécurité de connexion

Verrouiller le compte lui-même.

Indépendamment des identifiants d’API, le compte porte ses propres protections :

secrets ▸ deux syntaxes

Références vault vs placeholders IA.

Deux syntaxes de placeholder, deux canaux — ne les mélangez pas. {{vault:key}} est la syntaxe des champs de workflow : elle accepte des sous-champs comme {{vault:name.username}}, et une référence d’identifiants nue se résout en mot de passe. {{secret:key}} est le placeholder du canal IA, quand une session IA a besoin d’un secret. Un champ de workflow attend vault: ; une instruction IA attend secret:.

faq

Questions d’authentification, répondues.

référence ▸ suite

Mettez un token au travail.