Личные токены доступа: настройка скоупов для безопасной работы с API

Когда речь идет об интеграции корпоративного мессенджера со сторонними сервисами — будь то CRM, таск-трекеры или аналитические системы — важно обеспечить безопасный доступ к вашему аккаунту. Личные токены доступа (Personal Access Tokens, PAT) становятся удобным и безопасным решением. Однако их эффективность и безопасность напрямую зависят от правильной настройки скоупов — то есть ограничения прав доступа.

Что такое скоупы и почему они важны

Скоупы — это набор прав, которые задаются для конкретного токена. Вместо того чтобы предоставлять токену доступ ко всем возможностям API, вы можете ограничить его права только теми действиями, которые необходимы для выполнения определенной задачи. Такой подход значительно снижает риски, даже если токен случайно попадет в чужие руки.

Например, если токен используется для автоматической отправки уведомлений из других сервисов, он не должен иметь права управления пользователями или создания новых чатов. Скоупы позволяют задавать настолько узкие границы, насколько это возможно.

Токены с ограниченными правами также безопаснее передавать внутри команды. Если для реализации задачи нужно участие другого сотрудника, вы можете поделиться с ним токеном, чьи доступы будут четко ограничены в рамках задачи. Тогда можно будет не беспокоиться о сохранности данных, к которым этот токен не имеет доступа.

Скоупы токенов в Пачке

Сейчас в списке разрешений можно выдать доступы на те же действия, что есть в нашем публичном API. Также в интерфейсе создания новых токенов также будет указано, когда они были созданы и использовались ли — это позволит поддерживать актуальность интеграций и предоставленных доступов для токенов.

Список разрешений пополняется вместе с API. Так, для работы с черновиками и отложенными сообщениями появились скоупы drafts:read и drafts:write — они выдаются только личным токенам, ботам черновики недоступны.

Как указать токену нужные скоупы?

1. В левом меню откройте раздел Автоматизации → API.
2. Нажмите кнопку "Создать новый токен" в правом верхнем углу.
3. Укажите название вашего токена и разрешения, которые ему будут предоставлены. Мы рекомендуем выдавать минимально необходимые разрешения под задачу.
4. Создайте токен. Обязательно скопируйте токен, он будет отображен только один раз. Сохраните его в безопасном месте для предотвращения потенциальных утечек.