Autorisations

Vue d’ensemble

Ziptask utilise un modèle d’autorisations flexible. Chaque rôle détient un ensemble d’autorisations ressource + action + périmètre qui déterminent exactement ce que ses membres peuvent voir et faire. Les rôles système couvrent les configurations les plus courantes d’emblée ; les rôles personnalisés permettent aux rôles Root de construire un accès sur mesure pour leurs flux de travail spécifiques.

Périmètres d’autorisation

Chaque autorisation a un périmètre qui contrôle ce sur quoi le rôle peut agir :

Périmètre	Signification
`account`	Tout ce qui est dans le compte — aucune restriction de propriété
`team`	Tout ce qui appartient aux équipes du membre, plus ce qu’il a créé ou qui lui est directement attribué
`own`	Uniquement ce que le membre a créé ou qui lui est directement attribué

Rôles système

Tous les comptes incluent cinq rôles système intégrés. Ils ne peuvent être ni modifiés ni supprimés.

Root

Un par compte. Accès complet à chaque ressource, y compris la facturation, les indicateurs de fonctionnalité et la gestion des rôles.

Ce que Root peut faire : tout ce qu’Admin peut faire, plus basculer les indicateurs de fonctionnalité, gérer la facturation et l’abonnement, créer et supprimer des rôles personnalisés, et changer le rôle de n’importe quel membre.

Admin

Ce qu’Admin peut faire : voir toutes les listes de tâches du compte. Créer, modifier, supprimer, attribuer des membres et approuver les éléments sur n’importe quelle liste. Gérer toutes les équipes, membres, projets, étiquettes et modèles. Consulter les rapports et l’activité à l’échelle du compte. Consulter la boutique.

Ressource	Actions	Périmètre
Listes de tâches	read, create, update, delete, assign, approve	account
Éléments de liste de tâches	read, create, update, delete, act	account
Équipes	read, create, update, delete	account
Membres	read, create, update, delete	account
Projets	read, create, update	account
Modèles	read, create, update, delete	account
Étiquettes	read, create, update, delete	account
Rapports, Journal d’activité, Boutique	read	account

Team Admin

Nécessite : l’indicateur de fonctionnalité teams_enabled activé.

Ce que Team Admin peut faire : gérer entièrement les listes de tâches, les éléments et l’appartenance à l’équipe au sein de sa ou ses propres équipes. Voir tous les membres et les ressources au niveau du compte (modèles, étiquettes, boutique) mais ne peut pas les créer ni les modifier. Ne peut pas créer ni gérer de projets — c’est une responsabilité Admin/Root.

Ressource	Périmètre de lecture	Périmètre d’écriture (create / update / delete / assign / approve)
Listes de tâches	team	team
Éléments de liste de tâches	team	team (create / update / delete / act)
Équipes	account	team (ses propres équipes uniquement)
Membres	account	— (lecture seule)
Modèles	account	— (lecture seule)
Étiquettes	account	— (lecture seule)
Pièces jointes	team	team
Rapports, Journal d’activité	team	—
Boutique	account	—

Team User

Nécessite : l’indicateur de fonctionnalité teams_enabled activé.

Ce que Team User peut faire : voir toutes les listes de tâches appartenant à ses équipes. Créer et gérer ses propres listes. Prendre en charge, terminer, commenter et téléverser des pièces jointes sur les listes qu’il a créées ou qui lui sont attribuées par un admin. Appliquer et créer des étiquettes pour organiser ses listes. Parcourir la boutique et y échanger des récompenses. Ne peut pas approuver les éléments, gérer les modèles, renommer ou supprimer les étiquettes du compte, ni voir les listes hors de ses équipes. Voir la liste d’une équipe ne lui permet pas à lui seul de la travailler — un admin attribue le travail (voir « Le travail sur les éléments suit l’attribution » ci-dessous).

Ressource	Actions	Périmètre
Listes de tâches	read	team
Listes de tâches	create, update, delete	own
Éléments de liste de tâches	read	team
Éléments de liste de tâches	create, update, delete, act	own
Équipes	read	team
Membres	read	account
Modèles	read	account
Étiquettes	read, create	account
Boutique	read	account

Utilisateur

Ce que l’Utilisateur peut faire : voir et gérer les listes de tâches qu’il a créées ou qui lui sont directement attribuées. Prendre en charge, terminer, commenter et téléverser des pièces jointes sur ces listes. Consulter l’annuaire complet des membres, les modèles disponibles et la boutique. Ne peut pas voir les listes privées des autres membres, ne peut pas approuver les éléments, ne peut gérer aucune ressource au niveau du compte.

Ressource	Actions	Périmètre
Listes de tâches	read, create, update, delete	own
Éléments de liste de tâches	read, create, update, delete, act	own
Membres	read	account
Modèles	read	account
Étiquettes	read, create	account
Facturation	read	account
Boutique	read	account

Ce que les autorisations contrôlent

Accès aux listes de tâches et interactions avec les éléments

Il existe deux ressources liées. Les autorisations Liste de tâches régissent la liste en tant que conteneur — la créer, la renommer, ajouter ou retirer des éléments, planifier la récurrence. Les autorisations Éléments de liste de tâches régissent le travail à l’intérieur d’une liste — prendre en charge, terminer, commenter et téléverser une preuve. Les séparer permet à un rôle de faire le travail sans pouvoir restructurer la liste.

Pour la rétrocompatibilité, quiconque peut faire update sur une liste de tâches peut toujours tout faire sur ses éléments, de sorte que les rôles antérieurs à cette séparation continuent de fonctionner sans changement. La ressource élément permet simplement d’accorder le travail sur les éléments à part.

Autorisation Liste de tâches	Ce qu’elle débloque
`read`	Voir la liste et ses éléments, commentaires et pièces jointes
`create`	Créer de nouvelles listes de tâches
`update`	Renommer/modifier la liste, ajouter et modifier des éléments, et (via rétrocompatibilité) tout le travail sur les éléments ci-dessous
`delete`	Supprimer une liste de tâches
`assign`	Ajouter ou retirer des attributions de membres sur une liste
`approve`	Approuver ou rejeter les éléments soumis pour approbation ; réinitialiser les éléments terminés

Autorisation Éléments de liste de tâches	Ce qu’elle débloque
`read`	Voir les éléments, commentaires et pièces jointes de la liste (retombe sur `read` de Liste de tâches)
`act`	Prendre en charge et terminer — s’attribuer un élément, le terminer, le relâcher, commenter, téléverser une preuve
`create`	Ajouter de nouveaux éléments à une liste
`update`	Modifier le texte/les réglages d’un élément et rouvrir (réinitialiser) un élément terminé
`delete`	Supprimer des éléments

L’association clé est act vs update : act permet à un membre de faire un élément (l’action quotidienne de l’équipe), tandis que update lui permet de changer le texte ou les réglages de l’élément. Un rôle avec act mais pas update peut terminer une liste de vérification sans pouvoir la modifier ni la réécrire. L’approbation/le rejet d’un élément reste sur task_list:approve, et la réattribution d’un élément à quelqu’un d’autre reste sur task_list:assign — ni l’un ni l’autre ne fait partie de la ressource élément.

Le travail sur les éléments suit l’attribution

Le travail sur les éléments est limité par un périmètre comme tout le reste : un membre au périmètre own (Utilisateur, Team User) ne peut prendre en charge et terminer des éléments que sur les listes qu’il a créées ou qui lui ont été attribuées — pas sur chaque liste qu’il peut simplement voir. C’est délibéré : le travail se mérite par attribution, de sorte qu’un admin ou un team admin répartit et attribue chaque liste aux personnes qui l’effectuent, et seules ces personnes (plus les admins) peuvent cocher les éléments. Un Team User peut voir toutes les listes de ses équipes mais ne peut en terminer une tant qu’un admin ne la lui a pas attribuée.

Une liste peut tout de même être en lecture seule côté gestion alors que ses éléments sont exploitables : un membre attribué à une liste qu’il n’a pas créée ne peut pas la renommer ni y ajouter d’éléments (gestion), mais peut prendre en charge et terminer les éléments existants (travail). Les deux statuts sont par membre, par liste — les boutons de travail sur les éléments apparaissent dès que le membre peut agir sur cette liste.

Pour les comptes qui veulent plutôt que n’importe quel membre d’équipe saisisse n’importe quelle liste de son équipe sans étape d’attribution, clonez un rôle et accordez task_item:act:team. (Compromis : cela permet aussi à un membre d’équipe qui n’est pas de service ce jour-là de valider des éléments, donc la plupart des comptes devraient préférer l’attribution.)

Rôles personnalisés

Nécessite : le forfait Starter ou supérieur.

Les rôles Root peuvent créer des rôles personnalisés depuis la page Rôles (accessible via l’élément de navigation Rôles dans la barre latérale). Les rôles personnalisés fonctionnent exactement comme les rôles système — ils détiennent un ensemble d’autorisations ressource + action + périmètre et sont attribués aux membres via le parcours d’invitation ou la page de détail du membre.

Cloner un rôle. La page de détail de chaque rôle comporte un bouton Cloner qui démarre un nouveau rôle personnalisé pré-rempli avec le nom de ce rôle (préfixé « Copie de »), sa description et sa matrice d’autorisations complète — vous l’ajustez ensuite et l’enregistrez. C’est la façon la plus rapide de faire une petite variation d’un rôle existant, et le seul moyen de fonder un rôle sur un rôle système (qui ne peut pas être modifié) : par exemple, clonez Admin et activez les Coûts de projet pour obtenir un « admin qui peut aussi voir les coûts ». Le clonage est disponible partout où l’on peut créer un rôle, à la fois sur les rôles système et personnalisés. Comme la facturation et les indicateurs de fonctionnalité sont réservés à Root, cloner un rôle qui les possède (comme Root) les laisse de côté dans la copie — le nouveau rôle obtient tout le reste.

Autorisations disponibles pour les rôles personnalisés :

Ressource	Actions disponibles	Restriction de périmètre
Listes de tâches	read, create, update, delete, assign, approve	own / team / account
Éléments de liste de tâches	read, create, update, delete, act	own / team / account
Projets	read, create, update, delete	own / account
Équipes	read, create, update, delete	team / account
Membres	read, create, update, delete	team / account
Modèles	read, create, update, delete	account uniquement
Étiquettes	read, create, update, delete	account uniquement
Rapports	read	own / team / account
Journal d’activité	read	own / team / account
Coûts de projet	read, manage	own / account
Boutique	read, create, update, delete	account uniquement
Rôles	read, create, update, delete	account uniquement

Les autorisations de facturation et d’indicateurs de fonctionnalité ne sont pas disponibles pour les rôles personnalisés — elles restent exclusives à Root.

Note sur les pièces jointes : l’accès aux pièces jointes n’est pas une autorisation distincte. Le téléversement et la consultation de pièces jointes sur une liste de tâches sont régis par les autorisations Liste de tâches du membre — le périmètre update accorde la possibilité de téléverser et de supprimer ses propres pièces jointes ; update:account permet en plus de supprimer les pièces jointes de n’importe quel membre.

Ressources réservées au périmètre compte : Modèles, Étiquettes, Boutique et Rôles n’ont pas de périmètre propre ou équipe pertinent. La grille d’autorisations les restreint au seul périmètre account.

Ressources réservées au périmètre équipe/compte : Équipes et Membres n’ont pas de propriétaire individuel, donc le périmètre own n’est pas disponible. La grille d’autorisations n’offre que les périmètres team et account.

Périmètre des Coûts de projet : own signifie que le membre ne peut consulter les données de coût que pour les projets dont il est le chef de projet attribué. account accorde la visibilité sur les données de coût de tous les projets. read affiche les chiffres de coût du projet et ses dépenses ; manage permet en plus d’ajouter, modifier et supprimer des dépenses. Les deux sont réservés à Root par défaut.

Règle de cascade de périmètre : régler une action d’écriture quelconque sur un périmètre relève automatiquement le périmètre de lecture à au moins le même niveau (par ex. régler update = team force read ≥ team).

Supprimer des rôles personnalisés : supprimer un rôle auquel des membres sont attribués affiche un avertissement indiquant combien de membres seront concernés. Après confirmation, le rôle est supprimé et l’attribution de rôle de ces membres est effacée — ils n’auront aucun rôle jusqu’à ce que Root les réattribue.

Quand les changements prennent effet : après avoir modifié un rôle personnalisé, les membres verront les autorisations mises à jour à leur prochaine connexion — ou dans un délai d’environ 15 minutes.

Notes pour l’assistance

Les rôles sont attribués par appartenance à un compte. Un utilisateur peut avoir des rôles différents dans différents comptes.
teams_enabled doit être activé pour que Team Admin et Team User apparaissent comme options dans le sélecteur de rôle. Si un admin ne voit pas ces rôles en invitant un membre, vérifiez l’indicateur de fonctionnalité dans les Paramètres du compte.
L’approbation d’un élément — approuver ou rejeter un élément soumis — nécessite task_list:approve. Root et Admin l’ont au périmètre account ; Team Admin l’a au périmètre team (ses propres équipes uniquement). Elle ne fait délibérément pas partie de la ressource Éléments de liste de tâches. Si un rôle personnalisé a besoin d’une autorité d’approbation, ajoutez l’octroi task_list:approve approprié.
Rouvrir un élément terminé (réinitialiser en à-faire) nécessite task_item:update ou le large task_list:update — cela compte comme une modification, pas comme faire le travail, donc un rôle avec seulement act ne peut pas réinitialiser des éléments.
Un membre attribué à une liste qu’il n’a pas créée peut tout de même travailler ses éléments — prendre en charge, terminer, commenter, téléverser — même si les commandes de gestion (renommer, ajouter des éléments) restent masquées. C’est l’attribution qui accorde le travail ; le simple fait de pouvoir voir la liste d’une équipe ne le fait pas. Pour permettre à un Team User de terminer une liste, un admin la lui attribue (attribuer une liste maître récurrente reporte l’attribution sur chaque instance future).
Après avoir modifié un rôle personnalisé, les membres verront les autorisations mises à jour à leur prochaine connexion (ou dans un délai d’environ 15 minutes).
Les rôles personnalisés sont disponibles sur le forfait Starter et au-dessus. La page Rôles est accessible à Root sur tous les forfaits mais affiche une invite de mise à niveau au lieu du bouton Nouveau rôle sur Free.