> ## Documentation Index
> Fetch the complete documentation index at: https://docs.tokios.com/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Tokios exposes private local models through https://api.tokios.com using an outbound-only connector tunnel.
> Use 'connector' for the local tokios-connector process.
> Use 'deployment' for the public model name in the API model field.
> Use 'upstream model id' for the model served by Ollama, llama.cpp, vLLM, LM Studio, or another local backend.
> API keys use the prefix sk-tok-. Connector tokens use the prefix ct-tok-.

# Créer des jetons d'automatisation pour les agents et les scripts

> Créez un jeton d'automatisation (at-tok-…) à portée limitée et expirant pour qu'un agent de codage ou un script puisse configurer et gérer votre espace de travail Tokios via l'API sans votre mot de passe.

Un **jeton d'automatisation** permet à un programme d'agir sur votre espace de travail comme vous le faites dans la console : appairer un connecteur, publier un modèle, créer une clé API, lire l'utilisation. Vous le créez dans **Settings**, choisissez précisément ce qu'il peut faire, et il expire à la date que vous définissez. Remettez-le à un agent de codage comme Claude Code ou Codex, à une tâche CI ou à un script, et ce programme peut exécuter toute la configuration sans intervention.

Ce n'est pas une clé API. Une clé API (`sk-tok-…`) permet à un client d'appeler vos modèles. Un jeton d'automatisation (`at-tok-…`) permet à un programme de gérer l'espace de travail, et il ne peut jamais appeler un modèle avec. Les deux ne se croisent jamais.

> [!NOTE]
>
> Les jetons d'automatisation agissent uniquement sur votre propre espace de travail. Ils ne peuvent jamais changer votre mot de passe ou votre adresse e-mail, afficher ou partager une clé API, faire tourner le jeton d'un connecteur, lire les prompts stockés, modifier la journalisation des requêtes ou créer d'autres jetons d'automatisation. Tout cela reste derrière une session de console connectée.

## Créer un jeton

Seul un administrateur de l'espace de travail peut créer, lister ou révoquer des jetons d'automatisation.

**1. Ouvrir Settings**

Dans la console, ouvrez **[Settings](https://tokios.com/console/settings)** et faites défiler jusqu'à **Automation tokens**. Cliquez sur **Create token**.

**2. Le nommer d'après ce qui le détiendra**

Utilisez un nom que vous reconnaîtrez dans la liste des jetons et sur les lignes qu'il crée, par exemple `claude-code on my laptop` ou `ci-deploy`.

**3. Choisir un préréglage ou sélectionner des portées**

**Setup** est le bon préréglage pour un agent qui installe le connecteur et rend votre modèle appelable. **Read-only** convient à la supervision. **Full** accorde toutes les portées. Cochez des portées individuelles pour tout le reste. Consultez [Portées](#scopes) ci-dessous.

**4. Choisir une expiration**

Chaque jeton expire. Choisissez 1 heure pour une configuration ponctuelle, plus long pour une tâche récurrente. Le maximum est 1 an.

**5. Copier le jeton une seule fois**

Le jeton n'est affiché qu'une seule fois. Copiez-le dans le coffre de secrets du programme ou dans une variable shell. Si vous le perdez, utilisez **Regenerate** depuis la liste ; l'ancienne valeur cesse immédiatement de fonctionner.

## Portées

Une portée est `resource:verb`. Une portée `write` inclut le `read` correspondant. Rien n'inclut `keys:rotate` ni `models:reroute`.

| Portée | Ce qu'elle autorise |
| - | - |
| `connectors:read` | Lister les connecteurs et lire leur statut en direct et les statistiques d'hôte |
| `connectors:write` | Lancer l'appairage, approuver, renommer, révoquer et supprimer des connecteurs. Supprimer un connecteur qui sert encore des modèles nécessite aussi `models:reroute` |
| `models:read` | Lister les modèles, déploiements, groupes de modèles, tarifs, limites et informations de connexion |
| `models:write` | Créer, modifier, mettre en pause et reprendre des modèles ; créer, modifier et supprimer des groupes de modèles ; définir les tarifs et l'auto-publication |
| `models:reroute` | Déplacer un modèle existant vers un autre connecteur, le renommer ou le supprimer. Chacune de ces actions change la machine qui reçoit le trafic de ce modèle, donc cette portée nécessite aussi `models:write` et ne figure dans aucun préréglage sauf **Full** |
| `keys:read` | Lister les clés API (empreintes et paramètres, jamais les secrets) |
| `keys:write` | Créer, modifier, révoquer et supprimer des clés API (le secret d'une clé nouvellement créée est retourné une seule fois) |
| `keys:rotate` | Faire tourner une clé API existante et recevoir son nouveau secret. Cela reprend la clé à celui qui la détient, donc cette portée ne figure dans aucun préréglage sauf **Full** |
| `usage:read` | Lire l'utilisation, les dépenses et le journal des requêtes (compteurs et métadonnées uniquement) |
| `playground:run` | Exécuter le playground et les vérifications de santé des modèles (envoie des prompts à vos modèles) |

| Préréglage | Portées |
| - | - |
| **Setup** | `connectors:read`, `connectors:write`, `models:read`, `models:write`, `keys:read`, `keys:write`, `playground:run` |
| **Read-only** | `connectors:read`, `models:read`, `keys:read`, `usage:read` |
| **Full** | chaque portée ci-dessus |

Un appel en dehors des portées du jeton renvoie `403` avec la portée manquante nommée dans l'erreur, de sorte qu'un programme peut vous indiquer exactement quelle autorisation il lui manque.

## Utiliser un jeton

Envoyez-le comme Bearer token à l'hôte de la console, pas à l'hôte API. Chaque appel de gestion se trouve sous `https://tokios.com/account/`.

**macOS & Linux**

```bash theme={"theme":{"light":"github-light","dark":"css-variables"}}
curl -s https://tokios.com/account/connectors \
  -H "Authorization: Bearer at-tok-YOUR_TOKEN"
```

**Windows CMD**

```cmd theme={"theme":{"light":"github-light","dark":"css-variables"}}
curl -s "https://tokios.com/account/connectors" -H "Authorization: Bearer at-tok-YOUR_TOKEN"
```

| Réponse | Signification |
| - | - |
| `401` | Le jeton est invalide, expiré ou révoqué, l'administrateur qui l'a créé a changé ou réinitialisé son mot de passe, ou l'espace de travail ou cet administrateur est suspendu. |
| `403` avec `"scope"` | Le jeton n'a pas cette portée. |
| `403` "only available from the console" | L'action est réservée à une session de console connectée. Aucune portée ne l'accorde. |
| `429` | Plus de 240 appels en une minute depuis ce jeton, ou trop de tentatives échouées depuis cette adresse. Un verrouillage s'applique à tous les jetons de cette adresse, y compris les jetons valides. Attendez et réessayez. |

Pour la liste complète des appels et l'ordre dans lequel une configuration sans intervention les exécute, consultez [Laisser un agent de codage configurer Tokios pour vous](/fr/guides/agent-setup.md).

## Le remettre à un agent

Créez un jeton avec le préréglage **Setup** et une expiration de 1 heure, puis démarrez votre agent sur la machine qui exécute votre modèle et envoyez-lui ce prompt :

```text theme={"theme":{"light":"github-light","dark":"css-variables"}}
Read https://docs.tokios.com/guides/agent-setup and follow it. The console base URL is https://tokios.com and the automation token is in the TOKIOS_TOKEN environment variable. Never print the token. My model server is Ollama on this machine. When you are done, give me the final report described on that page.
```

Définissez `TOKIOS_TOKEN` dans le shell avant de démarrer l'agent pour que le secret n'apparaisse jamais dans la conversation. La page du guide indique tout le reste à l'agent.

## Gérer les jetons

Chaque ligne dans **Settings** affiche les portées du jeton, son empreinte, son expiration, et quand et depuis quelle adresse IP il a été utilisé la dernière fois.

* **Regenerate** remplace le secret. L'ancienne valeur cesse immédiatement de fonctionner et la nouvelle n'est affichée qu'une fois.
* **Revoke** arrête le jeton définitivement. Créez-en un nouveau pour le remplacer.
* **Delete** supprime de la liste un jeton révoqué ou expiré.

Changer ou réinitialiser votre mot de passe révoque tous les jetons que vous avez créés. Un jeton créé depuis une session volée cesse de fonctionner dès que vous récupérez votre compte, et toute tâche permanente a ensuite besoin d'un nouveau jeton.

Les lignes créées par un jeton d'automatisation portent un badge **via token** sur les onglets **Connectors**, **Models** et **Keys**, pour que vous puissiez toujours distinguer ce qu'un programme a fait. Le badge reste après la suppression du jeton.

## Garder les jetons en sécurité

* **Limitez strictement les portées.** Un jeton Setup qui a terminé son travail doit être révoqué, pas conservé.
* **Fixez une expiration courte.** Utilisez 1 heure pour les sessions d'agent interactives. Une longue expiration appartient uniquement à une tâche récurrente dans un coffre de secrets.
* **Gardez-le hors des transcriptions.** Lisez-le depuis une variable shell ; ne le collez jamais dans une conversation avec l'agent.
* **Surveillez le badge et la colonne de dernière utilisation.** Si un jeton a été utilisé depuis une adresse que vous ne reconnaissez pas, révoquez-le.
* **Sachez ce qu'implique une clé créée.** Un jeton avec `keys:write` peut créer une clé API, et cette clé continue de fonctionner après l'expiration du jeton. Quelqu'un qui vole un jeton Setup d'1 heure peut créer une clé sans expiration et appeler vos modèles jusqu'à ce que vous le remarquiez. Après toute exécution d'agent, ouvrez l'onglet **Keys**, recherchez les lignes marquées **via token**, et révoquez celles que vous n'attendiez pas.
* **N'accordez `models:reroute` que si vous en avez besoin.** Déplacer, renommer ou supprimer un modèle existant change la machine qui reçoit son trafic. Un jeton qui peut aussi appairer des connecteurs pourrait appairer une machine contrôlée par son détenteur et y déplacer votre modèle. Setup n'en a jamais besoin : il crée des modèles mais ne les déplace jamais.
* **Attendez-vous à ce qu'une adresse partagée partage aussi un verrouillage.** Après 8 tentatives de jeton échouées depuis une même adresse IP, tous les jetons de cette adresse sont refusés avec `429` pendant 6 minutes, y compris les jetons valides. Les agents derrière le même réseau de bureau, la même passerelle NAT ou le même pool de runners CI partagent ce verrouillage. Si un client continue d'envoyer un jeton invalide, arrêtez-le ou corrigez-le au lieu de le laisser réessayer en boucle.

> **[Configuration par agent](/fr/guides/agent-setup.md)**
>
> La procédure étape par étape qu'un agent suit avec un jeton Setup.

> **[Clés API](/fr/setup/api-keys.md)**
>
> Les clés que vos clients utilisent pour appeler vos modèles.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.