Discussions Vue d'ensemble
De nombreuses solutions SharePoint Framework déclarent des autorisations Microsoft Graph qu'un administrateur du tenant doit approuver sur la page Accès aux API (API access) du Centre d'administration SharePoint. Discussions n'en fait pas partie. Le package ne déclare aucune demande d'autorisation d'API, n'inscrit aucune application dans Microsoft Entra ID et n'affiche aucune invite de consentement aux utilisateurs ni aux administrateurs. Tout ce que font les composants WebPart — lire et écrire les boards, les sujets, les réponses, les abonnements, les pièces jointes et les images, rechercher des personnes pour les @mentions — passe par l'API REST SharePoint du site où réside le board, en tant qu'utilisateur connecté.
Cet article consigne ce fait pour la revue de sécurité, explique ce qu'un administrateur voit et ne voit pas pendant l'installation, et énumère les rares éléments qui quittent effectivement le tenant.
Synthèse pour les auditeurs
| Question | Réponse |
|---|---|
| Autorisations Microsoft Graph demandées par le package ? | Aucune |
| Autres autorisations d'API (Azure DevOps, API personnalisées) ? | Aucune |
| Entrées sur la page Accès aux API après le déploiement ? | Aucune — rien à approuver ni à rejeter |
| Inscription d'application ou principal de service Microsoft Entra propre ? | Aucun |
| Invites de consentement administrateur ou utilisateur ? | Aucune |
| Identité utilisée pour l'accès aux données ? | L'utilisateur connecté, pour chaque requête |
| API appelées ? | Uniquement l'API REST SharePoint du site actuel |
| Autorisations d'application (app-only), comptes de service, informations d'identification stockées ? | Aucun |
| Contenu envoyé à Vitextra ou à des tiers ? | Aucun ; seulement la vérification de licence et la télémétrie d'utilisation avec des identifiants techniques |
| Script personnalisé requis sur le site ? | Non |
Ce que la solution appelle
Les composants WebPart utilisent le client HTTP de SharePoint Framework, qui envoie chaque requête avec l'identité de l'utilisateur actuel. SharePoint applique les autorisations de l'utilisateur à chaque appel, exactement comme pour les affichages de liste du Contenu du site (Site contents). Les points de terminaison utilisés sont :
- Les listes et éléments de liste du site actuel — pour trouver les listes Discussions par leurs colonnes marqueurs, les créer à la première utilisation (Manage Lists est nécessaire pour cette seule opération), et lire et écrire les boards, sujets, réponses, abonnements, mentions J'aime, signalements et statuts d'approbation.
- Les pièces jointes des éléments de liste — les fichiers joints aux sujets et aux réponses.
- Les fichiers et dossiers de la bibliothèque de documents
Discussions Assets— les images insérées dans l'éditeur de texte enrichi. - Le service de sélecteur de personnes de SharePoint — les suggestions affichées après la saisie de
@, et la résolution de la personne choisie en utilisateur du site. C'est le même service qu'utilise le sélecteur de personnes standard de SharePoint ; il n'appelle pas Microsoft Graph. - La liste d'informations utilisateur du site — les noms des auteurs et l'identifiant de l'utilisateur actuel.
Aucune requête ne part vers Microsoft Graph, Exchange, Teams ou tout autre service Microsoft 365, et le composant WebPart n'envoie aucun e-mail. La liste complète des listes et des colonnes se trouve dans KB10411. Où Discussions stocke vos données : listes, colonnes et confidentialité.
📝 Remarque
Comme ce sont les autorisations propres de l'utilisateur qui s'appliquent, le composant WebPart ne peut montrer à personne plus que ce que SharePoint lui montrerait dans les listes : les lecteurs voient les sujets approuvés, les modérateurs les sujets en attente, les invités ce que leurs autorisations sur le site permettent. Le modèle de rôles est décrit dans KB10408. Autorisations dans Discussions : qui peut lire, publier et modérer.
Ce que voit l'administrateur pendant l'installation
1. Le package vitextra.discussions.sppkg est chargé dans le catalogue d'applications du tenant (ou un catalogue d'applications de collection de sites) et activé avec Activer l'application (Enable app). La boîte de dialogue indique le domaine depuis lequel les scripts sont chargés et propose Ajouter à tous les sites (Add to all sites) ; elle ne comporte aucune section d'autorisations, car le package n'en déclare aucune.
2. La page Accès aux API (Centre d'administration SharePoint → Avancé → Accès aux API) ne change pas : aucune demande de Vitextra Discussions n'apparaît sous Demandes en attente (Pending requests), et rien n'a à être approuvé. Si votre organisation tient un registre des autorisations d'API approuvées, l'entrée pour Discussions est simplement « aucune demandée ».
3. Le composant WebPart est ajouté à une page comme n'importe quel autre, et le premier utilisateur disposant de Manage Lists crée le board. Les utilisateurs ne voient jamais de boîte de dialogue de consentement.
Les étapes d'installation et de mise à jour sont les mêmes que pour tout produit Vitextra : KB10035. Comment installer un produit Vitextra dans SharePoint Online, KB10050. Comment mettre à jour une solution Vitextra SPFx dans SharePoint Online et KB10361. Catalogue d'applications du locataire ou de la collection de sites : où déployer les applications Vitextra. La procédure générale pour les packages qui demandent des autorisations se trouve dans KB10360. Comment approuver les autorisations d'API Microsoft Graph pour les solutions Vitextra dans le Centre d'administration SharePoint ; pour Discussions, cet article n'est pas nécessaire.
❗ Important
Si une demande de Vitextra Discussions apparaît un jour sur la page Accès aux API après une mise à jour, elle provient d'une nouvelle version qui la déclare, et les notes de publication de cette version l'indiqueront. La version 26.10.2 n'en déclare aucune.
L'application Microsoft Teams
Le package d'application Teams que le catalogue d'applications génère pour l'onglet et l'application personnelle ne déclare pas non plus d'étendues Microsoft Graph. Son manifeste ne fait référence qu'à SharePoint Online lui-même — le mécanisme standard par lequel un onglet SPFx connecte l'utilisateur au site d'équipe — et aux domaines de connexion habituels de SharePoint et de Microsoft 365. Dans le Centre d'administration Teams, l'application n'affiche donc aucune autorisation d'API à accorder. L'ajout de l'application à Teams est décrit dans KB10393. Comment ajouter Discussions à Microsoft Teams.
Ce qui quitte le tenant
| Objectif | Ce qui est envoyé | Où |
|---|---|---|
| Fichiers du produit | Une requête de navigateur ordinaire pour les scripts et les icônes des composants WebPart | static.vitextra.com |
| Vérification de licence | L'ID du tenant, l'ID d'objet de l'utilisateur, l'adresse du site ainsi que l'identifiant, le nom et la version du produit | vitextra.com |
| Télémétrie d'utilisation | Un événement au chargement d'un composant WebPart (produit et version, ID et adresse du site, ID d'objet de l'utilisateur, langue de l'interface, exécution ou non dans Teams) et les détails techniques des erreurs | Azure Application Insights |
Aucun sujet, aucune réponse, pièce jointe, image, abonnement ni liste d'utilisateurs n'est envoyé à Vitextra ni à un tiers. La vue d'ensemble pour tous les produits Vitextra, y compris la résidence des données et le RGPD, se trouve dans KB10363. Où les produits Vitextra stockent vos données : confidentialité, résidence des données et RGPD.
Où réside l'autorisation d'envoi d'e-mails
Discussions n'envoie délibérément aucun e-mail ; il n'a donc besoin ni de Mail.Send ni d'une autorisation d'application pour envoyer au nom d'une boîte aux lettres. Le composant WebPart tient à jour la liste Discussions Subscriptions et la colonne Mentions ; la remise est le travail d'un flux Power Automate qu'un propriétaire du site met en place dans son propre environnement. Ce flux utilise les connexions de la personne qui le crée — la connexion SharePoint pour lire les listes et la connexion Office 365 Outlook (ou de boîte aux lettres partagée) pour envoyer —, et le consentement pour ces connexions est donné dans Power Automate, dans le cadre de la gouvernance que votre organisation applique déjà aux flux. Le contrat entre les listes et le flux est décrit dans KB10414. Fonctionnement des notifications dans Discussions : abonnements, mentions et Power Automate.
💡 Astuce
Pour le questionnaire de sécurité : « La solution est un package SharePoint Framework qui ne déclare aucune demande d'autorisation d'API, n'a pas d'application Entra ID propre, n'appelle que l'API REST SharePoint du site hôte avec l'identité déléguée de l'utilisateur connecté, stocke tout le contenu dans des listes de ce site et n'envoie à l'éditeur que des identifiants de licence et de télémétrie. » Chaque affirmation peut être vérifiée dans le catalogue d'applications, sur la page Accès aux API et dans la trace réseau du navigateur.
