--- title: "Autorisations d'API et consentement administrateur pour Discussions" description: "Référence pour les administrateurs SharePoint et les auditeurs de sécurité : le package Vitextra Discussions ne demande aucune autorisation Microsoft Graph ni autre autorisation d'API, ne nécessite ni consentement administrateur ni inscription d'application Microsoft Entra, et fonctionne entièrement via l'API REST SharePoint du site actuel dans le contexte de l'utilisateur connecté. Ce qui apparaît dans le catalogue d'applications et sur la page Accès aux API, ce que déclare l'application Teams, ce qui est envoyé à Vitextra et où réside l'autorisation d'envoi d'e-mails du flux Power Automate facultatif." url: https://vitextra.com/fr/support/kb/10413 language: fr published: 2026-11-01 modified: 2026-11-01 products: - "Discussions" author: "Lidija Reising" tags: ["autorisations d'API Discussions", "consentement administrateur composant WebPart SPFx", "aucune autorisation Microsoft Graph", "page Accès aux API Centre d'administration SharePoint", "SharePoint REST contexte utilisateur", "revue de sécurité Vitextra Discussions", "catalogue d'applications activer l'application", "autorisations application Teams SPFx", "Mail.Send non requis", "aucune autorisation déléguée"] --- # Autorisations d'API et consentement administrateur pour Discussions Référence pour les administrateurs SharePoint et les auditeurs de sécurité : le package Vitextra Discussions ne demande aucune autorisation Microsoft Graph ni autre autorisation d'API, ne nécessite ni consentement administrateur ni inscription d'application Microsoft Entra, et fonctionne entièrement via l'API REST SharePoint du site actuel dans le contexte de l'utilisateur connecté. Ce qui apparaît dans le catalogue d'applications et sur la page Accès aux API, ce que déclare l'application Teams, ce qui est envoyé à Vitextra et où réside l'autorisation d'envoi d'e-mails du flux Power Automate facultatif. ## Vue d'ensemble De nombreuses solutions SharePoint Framework déclarent des autorisations Microsoft Graph qu'un administrateur du tenant doit approuver sur la page **Accès aux API** (API access) du Centre d'administration SharePoint. [Discussions](https://vitextra.com/fr/products/discussions) n'en fait pas partie. Le package ne déclare **aucune demande d'autorisation d'API**, n'inscrit **aucune application** dans Microsoft Entra ID et n'affiche **aucune invite de consentement** aux utilisateurs ni aux administrateurs. Tout ce que font les composants WebPart — lire et écrire les boards, les sujets, les réponses, les abonnements, les pièces jointes et les images, rechercher des personnes pour les @mentions — passe par l'API REST SharePoint du site où réside le board, en tant qu'utilisateur connecté. Cet article consigne ce fait pour la revue de sécurité, explique ce qu'un administrateur voit et ne voit pas pendant l'installation, et énumère les rares éléments qui quittent effectivement le tenant. ## Synthèse pour les auditeurs | Question | Réponse | |---|---| | Autorisations Microsoft Graph demandées par le package ? | Aucune | | Autres autorisations d'API (Azure DevOps, API personnalisées) ? | Aucune | | Entrées sur la page **Accès aux API** après le déploiement ? | Aucune — rien à approuver ni à rejeter | | Inscription d'application ou principal de service Microsoft Entra propre ? | Aucun | | Invites de consentement administrateur ou utilisateur ? | Aucune | | Identité utilisée pour l'accès aux données ? | L'utilisateur connecté, pour chaque requête | | API appelées ? | Uniquement l'API REST SharePoint du site actuel | | Autorisations d'application (app-only), comptes de service, informations d'identification stockées ? | Aucun | | Contenu envoyé à Vitextra ou à des tiers ? | Aucun ; seulement la vérification de licence et la télémétrie d'utilisation avec des identifiants techniques | | Script personnalisé requis sur le site ? | Non | ## Ce que la solution appelle Les composants WebPart utilisent le client HTTP de SharePoint Framework, qui envoie chaque requête avec l'identité de l'utilisateur actuel. SharePoint applique les autorisations de l'utilisateur à chaque appel, exactement comme pour les affichages de liste du **Contenu du site** (Site contents). Les points de terminaison utilisés sont : - **Les listes et éléments de liste** du site actuel — pour trouver les listes Discussions par leurs colonnes marqueurs, les créer à la première utilisation (**Manage Lists** est nécessaire pour cette seule opération), et lire et écrire les boards, sujets, réponses, abonnements, mentions J'aime, signalements et statuts d'approbation. - **Les pièces jointes des éléments de liste** — les fichiers joints aux sujets et aux réponses. - **Les fichiers et dossiers** de la bibliothèque de documents `Discussions Assets` — les images insérées dans l'éditeur de texte enrichi. - **Le service de sélecteur de personnes** de SharePoint — les suggestions affichées après la saisie de `@`, et la résolution de la personne choisie en utilisateur du site. C'est le même service qu'utilise le sélecteur de personnes standard de SharePoint ; il n'appelle pas Microsoft Graph. - **La liste d'informations utilisateur** du site — les noms des auteurs et l'identifiant de l'utilisateur actuel. Aucune requête ne part vers Microsoft Graph, Exchange, Teams ou tout autre service Microsoft 365, et le composant WebPart n'envoie aucun e-mail. La liste complète des listes et des colonnes se trouve dans [KB10411. Où Discussions stocke vos données : listes, colonnes et confidentialité](https://vitextra.com/fr/support/kb/10411). 📝 **Remarque** Comme ce sont les autorisations propres de l'utilisateur qui s'appliquent, le composant WebPart ne peut montrer à personne plus que ce que SharePoint lui montrerait dans les listes : les lecteurs voient les sujets approuvés, les modérateurs les sujets en attente, les invités ce que leurs autorisations sur le site permettent. Le modèle de rôles est décrit dans [KB10408. Autorisations dans Discussions : qui peut lire, publier et modérer](https://vitextra.com/fr/support/kb/10408). ## Ce que voit l'administrateur pendant l'installation 1\. Le package `vitextra.discussions.sppkg` est chargé dans le catalogue d'applications du tenant (ou un catalogue d'applications de collection de sites) et activé avec **Activer l'application** (Enable app). La boîte de dialogue indique le domaine depuis lequel les scripts sont chargés et propose **Ajouter à tous les sites** (Add to all sites) ; elle ne comporte aucune section d'autorisations, car le package n'en déclare aucune. ![Activation du package Vitextra Discussions dans le catalogue d'applications](https://static.vitextra.com/articles/10413/enable-app-fr.png) *Activation du package Vitextra Discussions dans le catalogue d'applications* 2\. La page **Accès aux API** (**Centre d'administration SharePoint → Avancé → Accès aux API**) ne change pas : aucune demande de *Vitextra Discussions* n'apparaît sous **Demandes en attente** (Pending requests), et rien n'a à être approuvé. Si votre organisation tient un registre des autorisations d'API approuvées, l'entrée pour Discussions est simplement « aucune demandée ». 3\. Le composant WebPart est ajouté à une page comme n'importe quel autre, et le premier utilisateur disposant de **Manage Lists** crée le board. Les utilisateurs ne voient jamais de boîte de dialogue de consentement. Les étapes d'installation et de mise à jour sont les mêmes que pour tout produit Vitextra : [KB10035. Comment installer un produit Vitextra dans SharePoint Online](https://vitextra.com/fr/support/kb/10035), [KB10050. Comment mettre à jour une solution Vitextra SPFx dans SharePoint Online](https://vitextra.com/fr/support/kb/10050) et [KB10361. Catalogue d'applications du locataire ou de la collection de sites : où déployer les applications Vitextra](https://vitextra.com/fr/support/kb/10361). La procédure générale pour les packages qui *demandent* des autorisations se trouve dans [KB10360. Comment approuver les autorisations d'API Microsoft Graph pour les solutions Vitextra dans le Centre d'administration SharePoint](https://vitextra.com/fr/support/kb/10360) ; pour Discussions, cet article n'est pas nécessaire. ❗ **Important** Si une demande de *Vitextra Discussions* apparaît un jour sur la page **Accès aux API** après une mise à jour, elle provient d'une nouvelle version qui la déclare, et les notes de publication de cette version l'indiqueront. La version 26.10.2 n'en déclare aucune. ## L'application Microsoft Teams Le package d'application Teams que le catalogue d'applications génère pour l'onglet et l'application personnelle ne déclare pas non plus d'étendues Microsoft Graph. Son manifeste ne fait référence qu'à SharePoint Online lui-même — le mécanisme standard par lequel un onglet SPFx connecte l'utilisateur au site d'équipe — et aux domaines de connexion habituels de SharePoint et de Microsoft 365. Dans le Centre d'administration Teams, l'application n'affiche donc aucune autorisation d'API à accorder. L'ajout de l'application à Teams est décrit dans [KB10393. Comment ajouter Discussions à Microsoft Teams](https://vitextra.com/fr/support/kb/10393). ## Ce qui quitte le tenant | Objectif | Ce qui est envoyé | Où | |---|---|---| | **Fichiers du produit** | Une requête de navigateur ordinaire pour les scripts et les icônes des composants WebPart | `static.vitextra.com` | | **Vérification de licence** | L'ID du tenant, l'ID d'objet de l'utilisateur, l'adresse du site ainsi que l'identifiant, le nom et la version du produit | `vitextra.com` | | **Télémétrie d'utilisation** | Un événement au chargement d'un composant WebPart (produit et version, ID et adresse du site, ID d'objet de l'utilisateur, langue de l'interface, exécution ou non dans Teams) et les détails techniques des erreurs | Azure Application Insights | Aucun sujet, aucune réponse, pièce jointe, image, abonnement ni liste d'utilisateurs n'est envoyé à Vitextra ni à un tiers. La vue d'ensemble pour tous les produits Vitextra, y compris la résidence des données et le RGPD, se trouve dans [KB10363. Où les produits Vitextra stockent vos données : confidentialité, résidence des données et RGPD](https://vitextra.com/fr/support/kb/10363). ## Où réside l'autorisation d'envoi d'e-mails Discussions n'envoie délibérément aucun e-mail ; il n'a donc besoin ni de *Mail.Send* ni d'une autorisation d'application pour envoyer au nom d'une boîte aux lettres. Le composant WebPart tient à jour la liste `Discussions Subscriptions` et la colonne **Mentions** ; la remise est le travail d'un flux Power Automate qu'un propriétaire du site met en place dans son propre environnement. Ce flux utilise les connexions de la personne qui le crée — la connexion SharePoint pour lire les listes et la connexion Office 365 Outlook (ou de boîte aux lettres partagée) pour envoyer —, et le consentement pour ces connexions est donné dans Power Automate, dans le cadre de la gouvernance que votre organisation applique déjà aux flux. Le contrat entre les listes et le flux est décrit dans [KB10414. Fonctionnement des notifications dans Discussions : abonnements, mentions et Power Automate](https://vitextra.com/fr/support/kb/10414). 💡 **Astuce** Pour le questionnaire de sécurité : « La solution est un package SharePoint Framework qui ne déclare aucune demande d'autorisation d'API, n'a pas d'application Entra ID propre, n'appelle que l'API REST SharePoint du site hôte avec l'identité déléguée de l'utilisateur connecté, stocke tout le contenu dans des listes de ce site et n'envoie à l'éditeur que des identifiants de licence et de télémétrie. » Chaque affirmation peut être vérifiée dans le catalogue d'applications, sur la page **Accès aux API** et dans la trace réseau du navigateur.