Authentification et autorisations de l'assistant IA

Un assistant connecté n’a jamais vos identifiants : il reçoit un jeton, une sorte de badge numérique qui porte une liste précise de permissions. À la fin de cette page, vous saurez ce que vous accordez sur l’écran d’autorisation, comment ces droits sont plafonnés, qui peut connecter un assistant, et comment couper un accès.

OAuth, en deux mots

La connexion par navigateur repose sur OAuth, le standard utilisé quand une application vous demande « Autoriser l’accès à votre compte ? ». Vous vous connectez sur SynkriaOps, vous choisissez ce que l’assistant pourra faire, et SynkriaOps lui remet un jeton limité à ces choix. Votre mot de passe ne quitte jamais SynkriaOps.

Vous ajoutez l’adresse du serveur MCP dans l’assistant.
L’assistant ouvre votre navigateur sur app.synkriaops.com. Si vous n’êtes pas connecté, SynkriaOps vous demande de vous connecter, puis vous ramène à la demande.
L’écran d’autorisation s’affiche : vous choisissez le périmètre et les droits.
Vous cliquez sur « Autoriser N accès » (ou « Annuler »).
Le navigateur vous renvoie vers l’assistant, qui reçoit son jeton.

L’écran d’autorisation, bloc par bloc

Bloc	Ce qu’il montre
« Autoriser [assistant] à accéder à [société] ? »	Le nom déclaré par l’assistant et la cible choisie. La mention « Accès révocable à tout moment » rappelle que vous pourrez le retirer.
« Périmètre »	Les sociétés et le cabinet où vous pouvez connecter un assistant, avec votre rôle, la devise et le système comptable (système normal ou système minimal de trésorerie). S’il n’y a qu’un choix, il est présélectionné.
« Agences de ce jeton »	Seulement si la société utilise les agences : où l’assistant pourra Lire et Agir.
« Dossiers accessibles »	Seulement pour un cabinet : les dossiers clients que l’assistant pourra consulter.
« Niveau d’accès »	Lecture seule (recommandé), Assistant comptable ou Personnalisé.
« Ce que vous autorisez »	Les droits regroupés par domaine : Vue financière, Achats et fournisseurs, Ventes, clients et relances, Écritures comptables, Actions sensibles, Dossiers du cabinet.
« Ce que cela autorise »	Le résumé en clair de ce que l’assistant pourra et ne pourra pas faire.

Les permissions que votre abonnement, vos droits ou votre palier n’incluent pas ne sont pas affichées : une note indique combien ont été masquées.

Les trois niveaux d’accès

Niveau	Ce que l’assistant peut faire
Lecture seule (recommandé)	Consulter les données financières : grand livre, balance, pièces, banque, tiers, lettrages, TVA, journaux, exercices, factures fournisseurs, relances. Rien n’est modifié.
Assistant comptable	En plus : préparer des pièces en brouillon, enregistrer et catégoriser des factures fournisseurs, créer et modifier des tiers, proposer un tiers sur une transaction bancaire, préparer modèles et scénarios de relance. Vous gardez la validation finale.
Personnalisé	Vous cochez les droits un par un, y compris les actions sensibles.

Les actions sensibles

Valider une pièce, envoyer une facture ou une relance, payer ou comptabiliser une facture fournisseur, lettrer, délettrer, rapprocher, annuler une écriture, changer l’adresse e-mail d’un client, générer, arrêter ou archiver une facture récurrente : aucun niveau prédéfini ne contient ces actions.

Pour les accorder, vous les cochez une à une, puis vous cochez « Je comprends et j’autorise ces actions. ». Décocher cette confirmation retire aussitôt les actions sensibles déjà cochées.

Le principe : jamais plus que vous

Le droit réel d’un assistant est l’intersection de quatre limites :

votre rôle dans la société (Administrateur, CFO, Comptable, Auditeur) ;
votre abonnement ;
votre palier d’assistant, si l’administrateur vous en a attribué un ;
ce que vous avez coché à l’autorisation (et, le cas échéant, les agences ou dossiers choisis).

Ce calcul est refait à chaque appel. Si votre rôle est abaissé, l’assistant perd immédiatement les droits correspondants. Un droit non accordé ne provoque pas d’erreur en pleine conversation : l’outil correspondant n’existe tout simplement pas pour l’assistant.

Qui peut connecter un assistant

Dans une société, l’Administrateur peut toujours connecter un assistant, dans la limite de ses propres droits. Il décide qui d’autre le peut, dans Paramètres → Assistants IA et MCP, bloc « Qui peut connecter un assistant ? » :

Réglage	Effet
Vous seul (par défaut)	Aucun collaborateur ne peut connecter d’assistant.
Des personnes que vous choisissez	Seuls les collaborateurs autorisés dans la liste.
Tous les collaborateurs	Chacun connecte son assistant, dans la limite du palier par défaut ou de celui que vous lui attribuez.

Pour chaque collaborateur, l’administrateur choisit un palier (Lecture seule ou Assistant comptable) et peut ajouter des « Actions personnalisées », dont les actions sensibles, à cette personne seulement. Chaque modification demande une confirmation d’identité et est inscrite au journal d’audit. Le guide complet de la direction (profils types, effet d’un retrait sur les assistants déjà connectés) est dans La direction décide qui utilise un assistant IA.

Cabinet : un accès pour plusieurs dossiers

Un expert-comptable membre d’un cabinet peut choisir son cabinet comme périmètre. Un seul accès couvre alors plusieurs dossiers clients.

Dans « Périmètre », choisissez le cabinet.
Dans « Dossiers accessibles », cochez les dossiers (de 1 à 200). Les dossiers sont séparés entre « Dossiers créés par le cabinet » et « Dossiers où la société a invité le cabinet » ; ces derniers peuvent porter la mention « Droits limités sur ce dossier », car la société fixe ce que le cabinet peut y faire.
Choisissez le niveau d’accès, puis « Autoriser N accès ».

À chaque demande, l’assistant doit désigner le dossier visé : il obtient la liste avec l’outil lister_dossiers_cabinet (droit « Dossiers du cabinet »), et la réponse rappelle toujours le dossier sur lequel l’action a porté. Les droits sont recalculés à chaque appel : ce que vous pouvez faire sur le dossier, ce que la société concède au cabinet module par module, et la visibilité du dossier (un dossier confidentiel reste réservé à qui peut le voir).

Réglage du cabinet (« Qui peut connecter un assistant »)	Effet
Les responsables seulement (par défaut)	Les collaborateurs ne peuvent pas connecter d’assistant.
Les personnes que j’autorise	Les responsables, et les collaborateurs cochés.
Tous les collaborateurs	Chacun peut connecter un assistant sur ses propres dossiers.

Les accès du cabinet se gèrent dans Paramètres du cabinet → onglet Accès machine. La société cliente ne voit pas et ne révoque pas les accès du cabinet : un collaborateur révoque les siens, un responsable ceux du cabinet.

Agences

Si la société utilise les agences, l’écran d’autorisation affiche « Agences de ce jeton » : pour chaque agence, vos droits (Lire ou Lire et agir) et deux cases, Lire et Agir. Au moins une agence est requise ; l’agence où vous travaillez est proposée par défaut.

Vous ne pouvez confier que les agences où vous lisez et agissez vous-même.
« Nouvelles agences » : « Ne pas les ajouter à ce jeton (recommandé) » ou « Les ajouter automatiquement, dans la limite de mes droits ».
L’assistant dispose alors de l’outil lister_agences, qui indique où il peut lire et agir.
Une opération réservée au siège est refusée à un accès qui ne couvre pas toutes les agences (code HEAD_OFFICE_SCOPE_REQUIRED).

Durée de validité

Accès	Durée
Connexion par navigateur	90 jours, sans renouvellement automatique. À l’échéance, l’assistant rouvre le navigateur et vous revoyez ce que vous accordez.
Clé d’agent	L’échéance choisie à la création, ou aucune (jusqu’à révocation).
Écran d’autorisation	La demande expire après 10 minutes : au-delà, relancez la connexion depuis l’assistant.

Chaque accès porte un statut : Actif, Expire bientôt (14 jours avant l’échéance), Expiré, Révoqué ou Pas encore actif.

Révoquer un accès

Ouvrez Paramètres → Assistants IA et MCP.
Repérez l’accès dans « Applications connectées » ou « Agents et automatisations », puis cliquez sur « Gérer l’accès ».
Cliquez sur « Révoquer l’accès », puis « Oui, révoquer ».

La révocation est immédiate et définitive : l’appel suivant de l’assistant est refusé. L’administrateur voit tous les accès de la société, avec « Filtrer par collaborateur » dès qu’il y a plusieurs auteurs, et peut révoquer ceux des autres. Un collaborateur voit et révoque les siens.

D’autres événements coupent ou réduisent un accès sans révocation :

le support SynkriaOps ferme l’accès machine du compte : tous les accès cessent à l’appel suivant ;
le compte utilisateur qui a créé l’accès est désactivé ;
l’administrateur abaisse le palier ou referme le réglage « Qui peut connecter un assistant ? » : l’effet s’applique en quelques secondes.

Modifier les droits d’un accès

Les droits d’un accès ne se modifient pas après coup :

Connexion par navigateur : reconnectez l’application depuis l’assistant, vous revoyez l’écran d’autorisation.
Clé d’agent : cliquez sur « Renouveler ». Un nouvel agent est préparé avec les mêmes droits, que vous ajustez ; déployez la nouvelle clé, vérifiez qu’elle fonctionne, puis révoquez l’ancienne. Dans cet ordre, pour ne pas couper le service.

Les clés d’agent

Une clé d’agent est un secret de la forme sk_live_…. SynkriaOps ne l’affiche qu’une fois, à la création, et n’en garde qu’une empreinte : personne, pas même le support, ne peut la retrouver. Si vous la perdez, créez-en une autre et révoquez l’ancienne.

La création d’une clé suit les mêmes règles qu’une connexion par navigateur : accès machine ouvert, droit de connecter un assistant, droits plafonnés par votre rôle, votre abonnement et votre palier, confirmation d’identité. La procédure est dans Connecter un assistant.