Разрешения
Разрешения
Управляйте тем, к чему имеют доступ ваши API-ключи, с помощью гранулярных разрешений.
Разрешения
Управляйте тем, к чему имеют доступ ваши API-ключи, с помощью гранулярных разрешений.
Permissions позволяют ограничить, что может делать API-ключ. По умолчанию ключ имеет полный доступ в пределах своей области (организация, pod или inbox). Если вы передаёте объект permissions, он работает как белый список: разрешены только те права, которые явно установлены в true. Всё остальное запрещено.
Так вы получаете точный контроль над ресурсами и операциями для каждого ключа — поверх уже существующей изоляции по области для ключей с областью pod и ключей с областью inbox.
При создании API-ключа с объектом permissions режим переключается с «полного доступа» на «белый список»:
permissions: ключ имеет полный доступ в пределах своей области. Это поведение по умолчанию и обратно совместимо с уже существующими ключами.permissions указан: разрешены только права, выставленные в true. Любое право, которое опущено или равно false, запрещено.У существующих API-ключей без поля permissions всё работает как раньше — полный доступ. Белый список включается только когда вы явно передаёте объект permissions.
Разрешения пересекаются с областью ключа. Ключ, ограниченный одним inbox, не получит возможностей уровня организации (например inbox_create или domain_create), даже если в permissions они true. Эффективные права — это пересечение того, что допускает область, и того, что даёт объект permissions.
Ограниченный API-ключ не может создать дочерний ключ с большими правами, чем у него самого. При создании нового ключа права потомка автоматически ограничиваются эффективными правами родителя. Так нельзя повысить привилегии через создание ключей.
Если разрешение на видимость метки запрещено, элементы с этой меткой автоматически исключаются из списков и при прямом обращении возвращается «не найдено». Например, при label_spam_read: false ключ никогда не увидит спам ни в списках, ни при поиске.
Создайте API-ключ, который может читать все ресурсы, но не создавать, не обновлять и не удалять.
Создайте ключ с полным доступом, но без видимости контента в spam, blocked и trash. Удобно для ключей агентов, чтобы они не обрабатывали нежелательную почту.
Скопируйте один из блоков ниже в Cursor или Claude, чтобы дать полный контекст по API разрешений за один раз.
domain_create или inbox_delete.label_spam_read, label_blocked_read и label_trash_read в false, чтобы агенты не видели и не обрабатывали ненужную почту и сохраняли чистый контекст.