Applications connectées, API publique, webhooks & MCP

Pourquoi

L'entreprise peut relier Tauraco à un logiciel partenaire, à un intégrateur ou à un assistant IA sans partager de mot de passe. Chaque accès repose sur une autorisation OAuth 2.0, limitée à une seule entreprise, bornée par des permissions et révocable à tout moment.

Comment dans l'application

Créer une application. « Identifiants API » crée une application de l'entreprise en accès machine, sans utilisateur connecté. Son secret ne s'affiche qu'une fois ; il peut être renouvelé, et l'application révoquée. Les plafonds s'expriment en appels par minute et par jour (120 et 50 000 par défaut). Tant que l'API publique n'est pas ouverte, l'écran l'indique. La gestion des applications et des webhooks est réservée au propriétaire et à l'administrateur ERP de l'entreprise, ainsi qu'à l'administration de la plateforme.

Autoriser une application tierce. « Applications connectées » liste les accès. L'administrateur y accorde un accès machine à une application tierce avec « Autoriser une application », en saisissant son identifiant public et les permissions accordées. Quand une application tierce demande à agir pour un utilisateur, elle le redirige vers la page « Autorisation d'accès » : il y choisit l'« Espace autorisé » parmi ceux où il a un rôle ERP actif, décoche les permissions qu'il refuse, puis clique sur « Autoriser » ou « Refuser ». L'accès se révoque à tout moment depuis « Données et intégrations ».

Permissions. Une liste fermée de 31 permissions (scopes), dont 7 réservées aux établissements financiers ; une écriture inclut la lecture correspondante. Côté entreprise, l'API n'écrit que des clients, des factures, des encaissements, des demandes d'export et ses propres webhooks. Un accès machine reçoit un rôle de lecture ou de saisie, jamais d'administration ; aucun accès n'emporte de rôle de la plateforme.

Recevoir des événements. « Webhooks » enregistre une adresse publique en https et choisit les événements de l'entreprise : factures, paiements, clients, conventions, financement et exports, soit dix types sur les treize du catalogue ; les événements de garantie sont réservés aux établissements financiers, et l'événement de test part avec « Envoyer un test ». Chaque envoi est signé (en-têtes webhook-id, webhook-timestamp, webhook-signature) ; le secret ne s'affiche qu'une fois. Les messages ne portent que l'essentiel, avec un lien pour relire le détail par l'API. Un envoi sans réponse favorable est repris pendant environ 35 heures, puis passe à l'état « Abandonné » ; après 7 jours d'échecs continus, le webhook est désactivé. L'écran permet aussi de « Rejouer » une livraison.

Connecter un assistant IA. « IA et MCP » donne l'adresse du serveur MCP, https://api.tauraco.io/mcp (le nom mcp.tauraco.ai en est un alias en cours de création). L'utilisateur l'ajoute comme connecteur personnalisé à son assistant, consent, puis retrouve l'accès dans « Accès accordés à des assistants ». La liste « Assistants compatibles » de l'écran présente les assistants prévus ; leur compatibilité reste à vérifier sur le service ouvert. Le serveur propose 16 outils : 15 lectures (société, clients, fournisseurs, factures, écritures, trésorerie, appels d'offres, financement, Collateral, exports) et une seule écriture non destructive, la demande d'export.

Le portail développeurs (https://docs.tauraco.io/developers/, https://docs.tauraco.ai/developers/) détaille ces interfaces pour les intégrateurs.

Garde-fous

• L'entreprise vient toujours de l'autorisation, jamais d'un paramètre.
• Les droits sont relus à chaque appel : un rôle retiré ou une révocation coupe l'accès dès l'appel suivant.
• Un outil MCP ne voit jamais plus que la route de l'API équivalente.
• Ni l'API ni le MCP ne prennent de décision de financement, ne déclenchent de versement ni ne radient une garantie.
• Les événements de financement et de Collateral ne contiennent ni montant ni taux.
• Les listes de l'API publique et les outils MCP ne servent jamais de données personnelles ; un accès machine ne peut pas en demander l'export.
• Dans le MCP, les textes libres sont marqués « donnée externe non vérifiée ».
• Un compte de cabinet d'expertise comptable ne peut ni consentir un accès ni posséder une application.