Protégez votre token
Votre token MCP LanaChat ouvre votre espace de travail avec les cases que vous avez cochées, pendant 365 jours : traitez-le comme le mot de passe du propriétaire de l'agence. Un token par assistant, jamais dans une conversation, et révoquez-le immédiatement si vous pensez qu'il a fuité.
Quelles sont les règles ? #
- Un token par assistant. Un token pour Claude Code sur votre Mac, un autre pour Cursor. Vous pourrez ainsi en révoquer un sans toucher aux autres.
- Ne collez jamais le token dans une conversation, pas même avec votre propre assistant. Il va uniquement dans la configuration : la commande
claude mcp add,config.toml, ou le fichier JSON. - Jamais dans un e-mail, une capture d'écran, un document partagé ou un dépôt Git.
- Ne cochez que le nécessaire. Laissez Read reply diagnostics et Import fan history décochés sauf si vous les utilisez. Seul Spend the balance on licences permet à un assistant de dépenser votre solde, uniquement en licences, dans la limite de la Daily limit for licences du token ; elle n'est jamais cochée par défaut.
- Gardez le dernier mot. Sans Publish agency AI, l'assistant peut modifier et tester des brouillons, mais jamais publier ni activer les réponses. Il ne peut pas non plus créer le premier AI Brain d'une créatrice : cochez la case pour cette configuration puis décochez-la avec Edit, ou créez d'abord le brain dans la Console.
Que faire si vous pensez qu'il a fuité ? #
- Ouvrez Users › API & MCP.
- Appuyez sur Revoke sur le token. Il cesse de fonctionner immédiatement ; les opérations déjà en cours peuvent se terminer.
- Créez un nouveau token et mettez-le dans votre assistant.
Rotate, Renew, Revoke : quelle différence ? #
| Action | Ce qui se passe |
|---|---|
| Edit | modifie les cases ; le token reste le même |
| Rotate | donne un nouveau token ; l'ancien meurt immédiatement |
| Renew | comme Rotate, pour un token expiré |
| Revoke | tue définitivement le token |
| Show revoked tokens | liste les anciens |
Que ne peut jamais faire le token ? #
- Envoyer un message à un fan.
- Créer, modifier ou lire un autre token.
- Atteindre une autre agence.
- Lire des secrets : les tokens de bot et les clés d'intégration sont en écriture seule.
Attention Le token de bot Telegram donné par BotFather est aussi un secret. Si vous le donnez à votre assistant pour connecter un bot, il doit le transmettre une seule fois à l'outil et ne jamais le répéter. Vous pouvez aussi ajouter le bot vous-même dans Studio › Telegram Accounts.
FAQ #
Que faire si mon token a fuité ? #
Appuyez sur Revoke sur le token dans Users › API & MCP : il cesse de fonctionner immédiatement. Créez ensuite un nouveau token et mettez-le dans votre assistant.
Combien de temps un token est-il valable ? #
365 jours. Rotate donne un nouveau token et tue l'ancien immédiatement ; Renew fait de même pour un token expiré.
Le token peut-il atteindre une autre agence ou lire des secrets ? #
Non. Il fonctionne uniquement dans votre espace de travail, et les tokens de bot et clés d'intégration sont en écriture seule : aucun outil ne les relit.
Un membre de l'équipe peut-il créer un token ? #
Non. Seuls le propriétaire de l'espace de travail et les propriétaires d'agence peuvent ouvrir API & MCP.