Sécurité de Drive, audit et règles de suppression sûre

L’automatisation de Drive est puissante, car elle peut déplacer, partager et supprimer des fichiers. Cette puissance exige des règles de sécurité claires. L’API Drive de TrekMail associe des jetons à portée limitée, une Corbeille récupérable, des autorisations de purge explicites, des barrières de sécurité MCP et une journalisation d’audit pour permettre aux agents de travailler sans devenir des administrateurs de fichiers invisibles.

Utilisez des jetons à portée limitée

Créez un jeton par flux de travail. Un jeton de reporting doit permettre la lecture. Un jeton de téléversement doit permettre l’écriture. Un jeton de livraison doit permettre le partage. Un jeton de nettoyage peut autoriser la purge, mais il doit être distinct, clairement nommé et rarement utilisé.

Évitez d’accorder tous les droits Drive à un seul agent toujours actif. En cas de problème, un jeton limité réduit l’étendue des dégâts et facilite l’examen de l’audit.

Corbeille d’abord, purge ensuite

Une suppression normale déplace les fichiers et dossiers vers la Corbeille. Son contenu peut être restauré. Une purge est définitive.

Appliquez cette règle par défaut :

Les agents peuvent placer des fichiers dans la corbeille dans le cadre d’un flux de travail approuvé. Ils ne peuvent les purger que si l’utilisateur a explicitement demandé une suppression définitive ou si une tâche de maintenance vérifiée est en cours.

Sur un serveur MCP hébergé localement, son administrateur peut exiger TREKMAIL_ALLOW_DESTRUCTIVE=true pour les outils de suppression définitive. Le droit de purge correspondant reste toujours obligatoire.

Examinez les liens publics

Les liens de partage publics sont conçus pour les livraisons externes. Toute personne disposant de l’URL peut télécharger le fichier jusqu’à l’expiration du lien, l’atteinte de son plafond de téléchargements ou sa révocation.

Paramètres par défaut plus sûrs :

• Définissez une date d’expiration.
• Définissez un plafond de téléchargements.
• Révoquez les liens à la fin d’un projet.
• Ne créez pas de liens publics pour des fichiers exigeant un accès nominatif, sauf si votre politique l’autorise.

Auditez chaque flux de travail modifiant des données

Les actions de l’API Drive et de MCP qui modifient des données sont enregistrées avec l’attribution du jeton. Utilisez Agents IA et API → Journal d’audit pour déterminer :

• Quel jeton a créé ce dossier ?
• Quel agent a téléversé le fichier ?
• Quand un lien public a-t-il été créé ou révoqué ?
• Une purge a-t-elle été effectuée ?

Même si un jeton est révoqué par la suite, les anciennes entrées du journal d’audit restent utiles pour l’examen.

Restrictions de boîte aux lettres

Lorsqu’un agent n’a besoin que du Drive d’une boîte aux lettres, limitez le jeton à cette boîte. L’API ne révélera aucune ressource extérieure à cette restriction. Cette précaution est particulièrement importante pour les assistants intégrés au flux de travail d’une seule boîte aux lettres.

Sécurité de la facturation

Les modifications de facturation du module complémentaire Drive ne sont pas accessibles par les outils d’écriture de l’API ou de MCP. Les agents peuvent consulter l’état et le tarif du module, mais les achats, changements de capacité et résiliations restent dans le tableau de bord. Un jeton d’automatisation de fichiers ne peut donc pas devenir un jeton d’automatisation de facturation.

Liste de contrôle en cas d’incident

Si un agent a effectué une action inattendue :

1. Révoquez le jeton.
2. Consultez le journal d’audit filtré sur ce jeton.
3. Restaurez les fichiers depuis la Corbeille lorsque c’est possible.
4. Révoquez les liens de partage indésirables.
5. Ne créez un jeton de remplacement plus limité qu’après avoir corrigé le flux de travail.

Articles connexes

• Portées et autorisations de l’API Drive
• Guide des liens de partage pour l’API et MCP
• Opérations groupées sur les fichiers Drive via API/MCP