Gérer les paramètres OAuth
Les paramètres OAuth gèrent l’accès à l’échelle de l’entreprise au serveur MCP de Braze, contrôlent quelles URI de redirection de clients MCP peuvent se connecter à Braze et vous permettent de révoquer tous les jetons OAuth MCP de votre entreprise.
Les paramètres OAuth s’appliquent à l’ensemble de votre entreprise. Les autorisations attribuées à chaque utilisateur déterminent les espaces de travail et les fonctionnalités auxquels il peut accéder via le serveur MCP.
Exigences
| Exigence | Description |
|---|---|
| Autorisation « Admin » | Vous devez disposer de l’autorisation « Admin » au niveau de l’entreprise pour afficher les paramètres OAuth, activer ou désactiver l’accès OAuth MCP, gérer les URI de redirection ou révoquer les jetons OAuth MCP. |
| Autorisation « Use MCP Server » | Les utilisateurs doivent disposer de cette autorisation pour chaque espace de travail auquel ils souhaitent accéder via le serveur MCP. Cette autorisation est distincte de l’autorisation « Admin » utilisée pour gérer les paramètres OAuth. |
Pour plus d’informations sur l’attribution des autorisations, consultez Autorisations des utilisateurs.
Fonctionnement de l’accès OAuth
Les paramètres OAuth et les autorisations des utilisateurs fonctionnent de concert :
- Les paramètres OAuth à l’échelle de l’entreprise déterminent si les utilisateurs peuvent connecter des clients MCP à Braze.
- L’autorisation « Use MCP Server » détermine si un utilisateur peut utiliser le serveur MCP dans un espace de travail.
- Les autorisations existantes de l’utilisateur dans le tableau de bord déterminent les données et fonctionnalités de Braze auxquelles un client MCP peut accéder.
- Une connexion OAuth ne peut accéder qu’aux espaces de travail auxquels l’utilisateur est autorisé à accéder.
L’activation de l’accès OAuth MCP n’accorde pas de nouvelles autorisations d’espace de travail aux utilisateurs. De même, le retrait d’une autorisation du tableau de bord supprime cette capacité du client MCP connecté de l’utilisateur.
Contrôles au niveau de l’entreprise et de l’espace de travail
La politique OAuth est enregistrée au niveau de l’entreprise. Les administrateurs d’un espace de travail ne peuvent pas modifier l’accès OAuth MCP ni les statuts des URI de redirection pour un seul espace de travail.
| Contrôle | Où le configurer | Portée |
|---|---|---|
| Accès OAuth MCP | Paramètres > Paramètres d’administration > OAuth | Toute l’entreprise. Lorsque ce paramètre est désactivé, l’OAuth MCP est refusé dans tous les espaces de travail. |
| URI de redirection approuvées | Paramètres > Paramètres d’administration > OAuth | Toute l’entreprise. Les URI approuvées et bloquées s’appliquent à tous les espaces de travail. |
| Révoquer les jetons OAuth MCP | Paramètres > Paramètres d’administration > OAuth | Toute l’entreprise. La révocation s’applique à chaque jeton OAuth MCP dans tous les espaces de travail. |
| Autorisation « Utiliser le serveur MCP » | Paramètres > Gestion des utilisateurs | Par espace de travail. Les utilisateurs ont besoin de cette autorisation dans chaque espace de travail auquel ils accèdent via le serveur MCP. |
Seuls les utilisateurs disposant de l’autorisation « Admin » peuvent modifier l’accès OAuth MCP, changer les statuts des URI de redirection ou révoquer les jetons OAuth MCP. Pour savoir comment les autorisations de l’espace de travail interagissent avec ces paramètres d’entreprise, consultez OAuth et accès MCP.
Activer ou désactiver l’accès OAuth MCP
Pour modifier l’accès OAuth MCP de votre entreprise :
- Accédez à Paramètres > Paramètres d’administration > OAuth.
- Dans Contrôles d’accès globaux, activez ou désactivez Accès OAuth MCP.
Lorsque l’accès OAuth MCP est activé, les utilisateurs disposant de l’autorisation « Utiliser le serveur MCP » peuvent autoriser les clients MCP approuvés. Lorsqu’il est désactivé, l’accès OAuth au serveur MCP est refusé pour tous les utilisateurs et tous les espaces de travail de votre entreprise.
La désactivation de l’accès OAuth MCP ne supprime ni ne bloque les URI de redirection que vous avez configurées. En revanche, Braze révoque les jetons OAuth MCP existants de votre entreprise, ce qui fait perdre l’accès aux clients MCP connectés. La section URI de redirection approuvées est masquée tant que l’accès OAuth MCP est désactivé. Réactivez-le pour gérer à nouveau la même liste d’URI.
Si Braze a désactivé le serveur MCP distant pour votre environnement, le bouton Accès OAuth MCP est désactivé. Un message indique alors que le paramètre de l’entreprise reste sans effet tant que le serveur MCP distant n’est pas réactivé.
Gérer les URI de redirection approuvées
Une fois l’accès OAuth MCP activé, la section URI de redirection approuvées répertorie les URI de redirection que les clients MCP peuvent utiliser lors de l’authentification. Pour savoir comment les formater, consultez Formats d’URI de redirection.
Un administrateur de l’entreprise doit approuver l’URI de redirection de chaque client MCP, y compris les clients comme Claude, ChatGPT, Cursor, OpenAI Codex, Claude Code et Visual Studio Code. Les utilisateurs ne peuvent pas finaliser la connexion tant que l’URI de redirection du client n’est pas approuvée. Pour en approuver une, consultez Ajouter une URI de redirection.
Le tableau URI de redirection approuvées affiche les informations suivantes :
| Colonne | Description |
|---|---|
| URI de redirection | L’adresse exacte que Braze compare au rappel du client, chemin compris. |
| Ajoutée par | L’utilisateur du tableau de bord qui a ajouté l’URI ou l’a mise à jour en dernier. |
| Date d’ajout | La date à laquelle l’URI a été ajoutée ou mise à jour pour la dernière fois. |
| Statut | Indique si l’URI est Approuvée ou Bloquée. |
| Actions | Bloquer ou Débloquer, selon le statut actuel. |
Formats d’URI de redirection
| Type d’URI | Format à utiliser lors de l’ajout |
|---|---|
| Locale (adresse de bouclage) | Commence par http://localhost ou http://127.0.0.1. Omettez le port (les deux-points et les chiffres qui suivent l’hôte) pour que n’importe quel port local puisse correspondre. Par exemple, si le client affiche http://localhost:33491/oauth/callback, saisissez http://localhost/oauth/callback. Si vous conservez un port dans l’URI que vous ajoutez (comme :33491), Braze n’accepte que ce port. |
| Adresse distante | Saisissez l’adresse complète exactement telle que le client l’affiche, par exemple https://app.example.com/callback. |
| Schéma personnalisé | Commence par un schéma d’URI personnalisé (autre que http:// ou https://), comme cursor://. Saisissez-la exactement telle qu’elle apparaît. Certaines applications de bureau utilisent ce type d’adresse. |
Ajouter une URI de redirection
Pour autoriser un client MCP dont l’URI de redirection ne figure pas encore dans la liste :
- Sélectionnez Ajouter une URI de redirection.
- Saisissez l’URI de redirection complète, avec le protocole de rappel, à partir des paramètres OAuth ou d’intégration du client. Consultez le tableau Formats d’URI de redirection si vous avez besoin d’aide pour faire correspondre le rappel du client.
- Sélectionnez Enregistrer.
Pour les clients locaux, utilisez 127.0.0.1 et omettez le numéro de port dans l’URI de redirection que vous ajoutez.
Seules les URI de redirection au statut Approuvée peuvent finaliser une nouvelle autorisation OAuth. Si l’URI de redirection d’un client ne figure pas dans la liste ou si son statut est Bloquée, Braze refuse la demande d’autorisation.
Bloquer une URI de redirection
Pour empêcher toute nouvelle autorisation OAuth à partir d’une URI de redirection, sélectionnez Bloquer sur sa ligne et confirmez l’action. Braze conserve l’enregistrement de l’URI et passe son statut à Bloquée.
Bloquer une URI de redirection ne révoque pas les jetons des utilisateurs déjà connectés à ce client MCP. Sélectionnez Révoquer les jetons OAuth MCP pour mettre fin à ces sessions. Le blocage de l’URI est une action distincte qui empêche les nouvelles autorisations avec ce rappel.
Vous pouvez aussi retirer l’autorisation « Utiliser le serveur MCP » à un utilisateur pour empêcher uniquement cet utilisateur d’utiliser le serveur MCP. Les connexions MCP des autres utilisateurs restent actives jusqu’à ce que vous sélectionniez Révoquer les jetons OAuth MCP.
Débloquer une URI de redirection
Pour rétablir l’accès d’une URI de redirection bloquée, sélectionnez Débloquer sur sa ligne et confirmez l’action. Braze remet l’enregistrement existant au statut Approuvée au lieu de créer un doublon.
Les utilisateurs précédemment connectés à ce client MCP doivent s’authentifier à nouveau.
Révoquer les jetons OAuth MCP
La révocation des jetons invalide en une seule fois tous les jetons OAuth MCP de votre entreprise. Utilisez-la si vous pensez qu’un jeton a fuité ou a été utilisé de manière abusive.
Pour révoquer les jetons OAuth MCP de votre entreprise :
- Accédez à Paramètres > Paramètres d’administration > OAuth.
- Dans Révoquer les jetons OAuth MCP, sélectionnez Révoquer les jetons OAuth MCP.
- Vérifiez la boîte de dialogue de confirmation, puis sélectionnez Révoquer les jetons.
Braze révoque les jetons en arrière-plan et affiche un message de confirmation une fois la révocation terminée. Pour les entreprises disposant de nombreuses connexions, cela peut prendre quelques minutes. Laissez la page OAuth ouverte jusqu’à l’apparition de la confirmation.
La révocation des jetons est irréversible. Tous les clients MCP connectés perdent l’accès à Braze, et chaque utilisateur doit se reconnecter et connecter à nouveau son client MCP.
Ce que change la révocation
| Élément | Résultat |
|---|---|
| Jetons d’accès | Révoqués. Les clients MCP connectés cessent de fonctionner jusqu’à ce que l’utilisateur se reconnecte. |
| Jetons d’actualisation | Révoqués. Les clients MCP ne peuvent pas se reconnecter d’eux-mêmes en arrière-plan. Les utilisateurs doivent se reconnecter eux-mêmes. |
| Accès OAuth MCP | Inchangé. S’il était activé, les utilisateurs peuvent se reconnecter immédiatement. |
| URI de redirection approuvées | Inchangées. Les URI approuvées et bloquées restent telles quelles. |
| Autorisation « Utiliser le serveur MCP » | Inchangée. Les utilisateurs conservent l’autorisation et peuvent se reconnecter. |
| Nouvelles connexions | Non affectées. Les connexions établies après le lancement de la révocation continuent de fonctionner. |
Les requêtes déjà en cours au moment de la révocation ne sont pas annulées. Pour bloquer tout accès MCP au lieu de simplement mettre fin aux sessions en cours, désactivez Accès OAuth MCP (ce qui révoque également les jetons OAuth MCP). Pour retirer l’accès MCP d’un seul utilisateur, retirez-lui l’autorisation « Utiliser le serveur MCP ».
Si la révocation n’aboutit pas, Braze affiche un message d’erreur. Certains jetons peuvent déjà avoir été révoqués : contactez donc l’assistance avant de réessayer.
Résoudre les problèmes de connexions bloquées
Si un utilisateur voit le message « Cette application nécessite une approbation » ou une erreur générique comme « Une erreur inattendue s’est produite » lorsqu’il connecte un client MCP à Braze, il est possible que votre entreprise n’ait pas approuvé l’URI de redirection de ce client.
- Accédez à Paramètres > Paramètres d’administration > OAuth et recherchez l’URI de redirection du client dans le tableau URI de redirection approuvées. Consultez la colonne Statut pour savoir si l’URI est approuvée ou bloquée.
- Ajoutez l’URI si elle ne figure pas dans la liste, ou sélectionnez Débloquer si son statut est Bloqué.
- Demandez à l’utilisateur de connecter à nouveau son client MCP.
Si l’URI de redirection est approuvée et que la connexion échoue toujours, vérifiez que l’accès OAuth MCP est activé et que l’utilisateur dispose de l’autorisation « Utiliser le serveur MCP ». Pour en savoir plus sur la résolution des problèmes, consultez Configurer le serveur MCP de Braze.
Auditer l’activité OAuth
Braze enregistre les connexions OAuth au serveur MCP dans le rapport d’événements de sécurité. Utilisez ce rapport pour savoir quand les utilisateurs se connectent via OAuth.
Pour révoquer l’accès MCP d’un utilisateur, retirez-lui l’autorisation « Use MCP Server ». Pour révoquer tous les jetons OAuth MCP de votre entreprise, consultez la section Révoquer les jetons OAuth MCP. Pour obtenir des conseils de configuration et de résolution des problèmes, consultez Configurer le serveur MCP de Braze.