Токены и разрешения
Токен действует от вашего имени и только в одном пространстве. Его разрешения ограничены вашими текущими правами.
Авторизация
Передавайте секрет в заголовке Authorization: Bearer <token> каждого запроса. Публичный REST API не использует cookie-сессию и не требует CSRF-токена. За пределами localhost используйте HTTPS.
Разрешения
По умолчанию разрешено чтение. Для записи нужны оба разрешения соответствующего ресурса: :read и :write.
| Scope | Возможности |
|---|---|
workspace:read | Пространство, команды, статусы и участники. |
issues:readissues:write | Задачи и история задач: чтение и изменение. |
comments:readcomments:write | Комментарии: чтение и изменение. |
projects:readprojects:write | Проекты: чтение и изменение. |
cycles:readcycles:write | Циклы: чтение и изменение. |
views:readviews:write | Представления: чтение и изменение. |
GET /context доступен с любым действующим токеном. Права автора комментария и владельца пространства продолжают действовать даже при наличии write-scope. Публичный API не создаёт пространства, приглашения, команды или статусы; файловые операции доступны через MCP, а не REST API v1.
Срок, отзыв и ротация
- Срок действия: 7, 30 или 90 дней; по умолчанию 30. До 20 активных токенов на участника в пространстве.
- Участник видит и отзывает свои токены. Владелец пространства видит и может отозвать токены всех участников.
- Секрет показывается один раз и повторно не выдаётся. Если создание завершилось неопределённо, проверьте список, отзовите недоступный токен и создайте новый.
- Для ротации создайте новый токен, переключите интеграцию и отзовите старый.
- Удаление участника отзывает его токены безвозвратно. Повторное приглашение не восстанавливает доступ.
Срок действия, отзыв, членство и допуск аккаунта проверяются при каждом запросе. «Последнее использование» означает распознавание действующего токена, включая запросы, затем отклонённые по scopes или лимиту.
Хранение секрета
Храните токен в менеджере секретов или переменной окружения. Не передавайте его в URL, не включайте в Git, скриншоты и трассировки запросов. Управление токенами выполняется в dashboard; REST-токен не является OAuth-токеном MCP.