Connecteurs de bases externes : créer une clé limitée
Pour chaque connecteur, où créer la clé, la portée minimale à lui donner, où il tourne, et ce qu'il sait faire.
Sur cette page
Sections de l’aide
Une synchro avec une base externe a besoin d'une clé : donnez-lui la plus petite portée possible. La clé reste dans le trousseau chiffré de votre profil (bureau, web), liée à l'hôte de la source, ou dans votre boîte noire quand c'est elle qui exécute la synchro. Filarr ne la garde jamais.
Les connecteurs
L'écran Alimenter depuis une base externe… propose huit connecteurs.
| connecteur | la clé, et sa portée minimale | où il tourne |
|---|---|---|
| D1 (Cloudflare) | un jeton d'API Cloudflare personnalisé, limité à votre compte et à D1 : en lecture pour un import ou un miroir entrant, en modification pour publier ou synchroniser dans les deux sens | bureau, web, boîte noire |
| PostgreSQL | le mot de passe d'un rôle dédié (facultatif si votre serveur accepte la connexion sans mot de passe) : SELECT sur les tables utiles ; INSERT, UPDATE, DELETE en plus pour écrire | bureau, boîte noire |
| MySQL (et MariaDB) | le mot de passe d'un utilisateur limité aux tables utiles, mêmes droits | bureau, boîte noire |
| Supabase | une clé du projet. La clé « service » ouvre tout le projet en passant outre les règles RLS : préférez une clé soumise à des règles limitées | bureau, web, boîte noire |
| Airtable | un jeton personnel limité à la base visée, avec data.records:read (et data.records:write pour écrire) | bureau, web, boîte noire |
| Google Sheets | le fichier JSON d'un compte de service ; partagez la feuille avec l'adresse de ce compte, et rien d'autre. Pas de connexion Google par fenêtre pour l'instant | bureau, web, boîte noire |
| Notion | le jeton d'une intégration interne ; invitez l'intégration sur la seule base à lire | bureau, web, boîte noire |
| CSV ou JSON publié | une adresse https, et au besoin une clé facultative | bureau, web, boîte noire ; lecture seule |
PostgreSQL et MySQL : le bureau ou une boîte noire
Ces deux connecteurs ouvrent une connexion directe à la base. Les pilotes sont embarqués dans l'application de bureau : rien à installer. Un navigateur, lui, ne sait pas ouvrir ces connexions : sur le web, ils ne sont pas proposés pour tourner dans l'appli, et leur carte porte « Pas depuis le web ». Lancez la synchro depuis le bureau, ou confiez-la à une boîte noire, qui joint aussi une base de votre réseau local.
Ce que chacun sait faire
- D1, PostgreSQL, MySQL, Supabase écrivent « seulement si la valeur n'a pas changé » : une valeur modifiée dans la source pendant le passage n'est jamais écrasée.
- Airtable, Google Sheets, Notion relisent juste avant d'écrire : une fenêtre de moins d'une seconde subsiste.
- Google Sheets se relit en entier à chaque passage (pas de repère de changement).
- Notion : la version de son API est figée par le connecteur ; supprimer une ligne met la page à la corbeille de Notion. Une colonne de relation Notion, ou d'enregistrements liés Airtable, ne s'importe pas encore.
- CSV ou JSON : lecture seule (Une fois, Miroir entrant).
- D1, PostgreSQL, MySQL acceptent aussi une requête SQL en lecture (une seule instruction
SELECT), pour un import ou un miroir entrant.
TLS pour PostgreSQL et MySQL
- vérifié (par défaut) : chiffré, certificat vérifié contre le nom de l'hôte ;
- chiffré, certificat non vérifié : chiffré, mais une machine au milieu pourrait se faire passer pour le serveur ;
- coupé (réseau local seulement) : admis seulement pour une adresse privée ou un nom en
.lan,.local,.internal,.home.arpa.
Pour aller plus loin
- La référence des connecteurs côté boîte noire : github.com/filarr-work/filarr-gate.