VigicapVolver al centro de confianza
Confianza
Inventario de datos por conector
La tabla que pide un delegado de protección de datos, y la base de un registro en el sentido del artículo 30. Se genera a partir del registro de conectores en cada publicación: un inventario mantenido a mano es una promesa con fecha de caducidad, y esta es la tabla que usted muestra a una autoridad de control.
Generado el 20 de octubre de 2026
Lo que no varía
Tres de las cuatro respuestas son uniformes por sentido — por construcción y no por comodidad: un módulo de conector no tiene ningún acceso a la base de datos. La única excepción se indica a continuación conector por conector, en lugar de quedar disimulada aquí.
- Conservado a partir de una lectura: una cabecera, como máximo seis indicadores numéricos y un nivel ReCyF propuesto.
- Nunca se conserva ninguna respuesta en bruto de una herramienta externa.
- Las credenciales se almacenan cifradas y se eliminan al desconectar.
- Hacia una herramienta PSA solo salen un resumen, un texto en texto plano y la fuente que lo ha producido.
- De una herramienta PSA solo vuelve el estado de un ticket ya creado: el estado, la fecha de cierre y la última actividad. Un cierre se convierte allí en una propuesta que valida un consultor — nunca en una acción que se cierre por sí sola.
- Los resúmenes no contienen ningún nombre de persona — verificado por una prueba, no garantizado por el sistema de tipos.
- Cuando una agencia lo activa en una conexión, ese conector conserva además un marcador opaco por activo: un hash calculado con una clave del identificador interno de la herramienta de origen — nunca un nombre de máquina, un número de serie o una dirección IP. Permite decir que han desaparecido tres máquinas, nunca cuáles.
- Esta opción solo existe para 2 conectores de 113, está desactivada por defecto y, al desactivarla, se eliminan los marcadores ya conservados.
Lo que todavía no está documentado
El derecho de acceso necesario queda por documentar en 17 de los 113 conectores. La casilla está vacía en lugar de rellenada con una suposición: un inventario que adivinara «rol de solo lectura» para una herramienta cuyo modelo de permisos nunca se ha comprobado sería una afirmación no verificable ante el único público que la comprueba.
Conectores OAuth (2)
El administrador de su cliente autoriza él mismo, ve la lista de permisos en su propia pantalla de consentimiento y puede revocarla sin pedírnoslo.
| Herramienta | Alojamiento | Objetivos ReCyF leídos | Credenciales conservadas | Derecho de acceso necesario |
|---|---|---|---|---|
| Google WorkspaceVerificado en una instancia real | SaaS | Objetivo 10 | oauth-consent (refresh token, encrypted) | openid, email, https://www.googleapis.com/auth/admin.directory.user.readonly |
| Microsoft 365Verificado en una instancia real | SaaS | Objetivos 1, 10, 18 | oauth-consent (refresh token, encrypted) | openid, profile, offline_access, https://graph.microsoft.com/User.Read.All, https://graph.microsoft.com/AuditLog.Read.All, https://graph.microsoft.com/DeviceManagementManagedDevices.Read.All, https://graph.microsoft.com/SecurityEvents.Read.All, https://graph.microsoft.com/SecurityAlert.Read.All, https://graph.microsoft.com/Policy.Read.All |
Conectores con credenciales, un cliente (82)
Un juego de credenciales por cliente, aportado por la agencia, almacenado cifrado.
| Herramienta | Alojamiento | Objetivos ReCyF leídos | Credenciales conservadas | Derecho de acceso necesario |
|---|---|---|---|---|
| Acronis Cyber ProtectNo verificado en una instancia real | SaaS | Objetivos 9, 13 | clientId, clientSecret | Créez le client API depuis un compte d'administrateur ne portant que le rôle « read-only administrator » sur le service Cyber Protection : le client hérite définitivement des rôles du compte qui le crée, et ces rôles ne sont plus modifiables ensuite. |
| AdGuard HomeVerificado en una instancia real | Autoalojado | Objetivo 9 | username, password | AdGuard Home n'a qu'un compte d'administration (nom + mot de passe) et aucun rôle « lecture seule » : l'identifiant donné ici autorise aussi la modification du filtrage côté AdGuard Home. Réservez-le à Vigicap et n'exposez l'interface d'administration que sur un réseau de confiance. |
| AuthentikVerificado en una instancia real | Autoalojado | Objetivo 10 | apiToken | No documentado hasta la fecha |
| AWS Security HubNo verificado en una instancia real | SaaS | Objetivo 18 | region, accessKeyId, secretAccessKey, sessionToken | Politique gérée AWSSecurityHubReadOnlyAccess, sur un utilisateur ou un rôle dédié. Aucune écriture n'est effectuée. |
| BareosVerificado en una instancia real | Autoalojado | Objetivo 13 | consoleName, consolePassword | Créez un Console dédié (bareos-dir.d/console/) rattaché à un Profile dont la Command ACL se limite aux commandes de lecture — « status, show, list, llist, .jobs » suffisent à ce connecteur — plutôt que de réutiliser le profil « operator » ou la console par défaut. |
| Bitdefender GravityZoneNo verificado en una instancia real | SaaS | Objetivos 1, 9 | apiKey | À la génération de la clé (My Account > API keys), n'activez que l'API « Network » — la seule appelée ici ; Control Center répond 403 pour toute autre. Bitdefender exige en revanche que le compte qui GÉNÈRE la clé détienne les droits Manage Networks, Manage Users, Manage Company et Manage Reports : aucun compte en lecture seule ne peut créer cette clé. |
| BitwardenNo verificado en una instancia real | Autoalojado | Objetivo 10 | clientId, clientSecret | Bitwarden n'expose qu'une seule clé d'API d'organisation, sans rôle ni portée « lecture seule » — Bitwarden écrit lui-même qu'elle donne un accès complet à l'organisation, et seul un Owner peut l'obtenir. Réservez-la à Vigicap et traitez-la comme un secret d'administration. |
| Cert SpotterNo verificado en una instancia real | SaaS | — | apiToken, domain | Un jeton d'API Cert Spotter en lecture (SSLMate > API keys). Ce connecteur n'appelle que GET /v1/issuances. Aucun accès au système du client n'est nécessaire : les journaux de transparence des certificats sont publics, et le jeton ne sert qu'à interroger SSLMate. |
| Cisco DuoNo verificado en una instancia real | SaaS | Objetivo 10 | integrationKey, secretKey | Dans Applications, créez une application « Admin API » et donnez-lui la permission « Grant read resource » UNIQUEMENT. Ce connecteur n'appelle que GET /admin/v1/users. N'accordez ni « Grant write resource », ni « Grant read log », ni « Grant settings » : aucune n'est utilisée, et la première permettrait de modifier vos utilisateurs. |
| CrowdSecVerificado en una instancia real | Autoalojado | Objetivo 12 | apiKey | Une clé de bouncer (« cscli bouncers add »), jamais un compte machine : CrowdSec limite les clés d'API à la LECTURE des décisions, là où un couple identifiant/mot de passe de machine peut aussi en créer et en supprimer. |
| CrowdStrike FalconNo verificado en una instancia real | SaaS | Objetivos 5, 9 | clientId, clientSecret | No documentado hasta la fecha |
| DashlaneNo verificado en una instancia real | SaaS | Objetivo 10 | apiKey | Clé d'API créée dans la console d'administration Dashlane (Integrations > Developer Access > Create API key). Dashlane déclare son API publique en lecture seule et ne propose aucune portée plus fine : la même clé donne accès aux quatre points de lecture. À noter pour votre propre journal d'audit : Dashlane indique ne pas consigner qui crée les clés ni quand l'API est appelée — les lectures de ce connecteur ne sont donc pas auditables côté éditeur. |
| Datto BCDRNo verificado en una instancia real | SaaS | Objetivo 13 | publicKey, secretKey | Créez la clé dans le Partner Portal (Admin > Integrations > API Keys) en renseignant le champ « client » : Datto restreint alors les appels de cette clé aux équipements de ce client. Datto ne documente aucun rôle « lecture seule » distinct pour ces clés. |
| Datto RMMNo verificado en una instancia real | SaaS | Objetivos 1, 5, 9 | apiKey, apiSecretKey, siteUid | Générez la paire de clés depuis un compte dont le niveau de sécurité API n'accorde que les droits en lecture « Setup > Global Settings: View », « Sites > Sites: View » et « Sites > Devices: View » — le minimum que Datto documente pour les trois appels de ce connecteur. |
| DefectDojoVerificado en una instancia real | Autoalojado | Objetivo 5 | apiToken | No documentado hasta la fecha |
| DuplicatiVerificado en una instancia real | Autoalojado | Objetivo 13 | password | Duplicati n'a qu'un seul secret pour son interface web (DUPLICATI__WEBSERVICE_PASSWORD) et aucun rôle « lecture seule » : le mot de passe donné ici autorise aussi la modification des tâches côté Duplicati. Exposez donc l'interface uniquement sur un réseau de confiance et réservez ce mot de passe à Vigicap. |
| Elastic SecurityVerificado en una instancia real | Autoalojado | Objetivos 12, 20 | apiKey, elasticsearchUrl | Clé API Elasticsearch avec le privilège cluster `monitor` et, côté Kibana, l'accès en lecture à la fonctionnalité Security (rôle intégré « viewer » suffisant). Aucune écriture n'est effectuée. |
| ESET PROTECTNo verificado en una instancia real | SaaS | Objetivos 1, 9 | username, password | Utilisateur dédié avec le droit « Integrations » et un jeu d'autorisations en LECTURE SEULE (ESET Business Account). |
| Fleet (osquery)Verificado en una instancia real | Autoalojado | Objetivos 1, 5, 18 | apiToken | Utilisateur API-only, rôle Observer — lecture seule, sans accès à l'interface. |
| Fortinet FortiGateNo verificado en una instancia real | Autoalojado | Objetivos 7, 9 | apiToken | Administrateur d'API REST avec le profil super_admin_readonly (ou un profil entièrement en lecture), restreint par hôtes de confiance. |
| FreeIPAVerificado en una instancia real | Autoalojado | Objetivo 10 | username, password | No documentado hasta la fecha |
| GitHubVerificado en una instancia real | SaaS | Objetivo 10 | apiToken, organisation | Un jeton d'accès personnel à portée fine, en lecture seule sur l'organisation (permission « Members: read-only »), ou un jeton classique portant uniquement `read:org`. Ce connecteur n'appelle que GET /orgs/{org} et GET /orgs/{org}/members. Important : seul un PROPRIÉTAIRE de l'organisation peut lire la liste des membres sans second facteur ; avec un autre compte, GitHub renvoie une liste vide au lieu d'un refus, et Vigicap signale alors que la couverture n'est pas lisible plutôt que d'annoncer une couverture totale. |
| GitLabVerificado en una instancia real | Autoalojado | Objetivo 10 | apiToken | Jeton d'accès personnel de portée « read_api », appartenant à un compte administrateur de l'instance. |
| GLPIVerificado en una instancia real | Autoalojado | Objetivo 1 | appToken, userToken | Utilisateur dédié disposant d'une clé d'accès distant (« Remote access key ») et d'un profil ne cochant que le droit « Read » sur Ordinateurs et Matériels réseau (onglet Actifs) : l'API GLPI applique les droits du profil et répond ERROR_RIGHT_MISSING au-delà. |
| Google Security Command CenterNo verificado en una instancia real | SaaS | Objetivo 18 | organizationId, clientEmail, privateKey | Rôle « Security Center Findings Viewer » (roles/securitycenter.findingsViewer) au niveau de l'organisation, porté par un compte de service dédié. Aucune écriture n'est effectuée. |
| GoPhishVerificado en una instancia real | Autoalojado | Objetivo 4 | apiKey | No documentado hasta la fecha |
| Grafana LokiVerificado en una instancia real | Autoalojado | Objetivo 20 | username, password, orgId | No documentado hasta la fecha |
| GraylogVerificado en una instancia real | Autoalojado | Objetivo 20 | apiToken | No documentado hasta la fecha |
| GreenboneVerificado en una instancia real | Autoalojado | Objetivo 5 | username, password | GMP n'a pas de rôle applicatif « lecture seule » séparé pour un compte web standard — créez un utilisateur dédié avec le rôle intégré « Guest » ou « Info » (Administration > Users) plutôt que de réutiliser le compte admin. |
| HashiCorp VaultVerificado en una instancia real | Autoalojado | Objetivo 10 | token, namespace | Vault n'exprime pas le moindre privilège par un rôle mais par une policy. La policy minimale de ce connecteur tient en deux chemins en lecture : path "sys/health" { capabilities = ["read"] } et path "sys/mounts" { capabilities = ["read"] } — aucun accès aux moteurs de secrets eux-mêmes, et pas de capability sudo. |
| Have I Been PwnedNo verificado en una instancia real | SaaS | — | apiKey, domain | Une clé d'API Have I Been Pwned avec un abonnement permettant la recherche par domaine, et le domaine du client vérifié dans le tableau de bord HIBP. La clé ne donne accès qu'aux domaines vérifiés sur le compte qui la détient : elle ne peut pas interroger un domaine tiers. |
| IntruderNo verificado en una instancia real | SaaS | Objetivo 5 | apiToken | Jeton d'accès personnel créé dans le portail Intruder (Settings > Account > API Access Tokens). Toutes les lectures de ce connecteur sont des GET ; aucune écriture n'est effectuée. Attention : Intruder ne propose pas de compte de service — « les jetons d'autorisation sont des jetons d'accès personnels, liés à votre compte utilisateur Intruder ». Le connecteur cessera donc de fonctionner si la personne qui a créé le jeton quitte l'organisation. Laissez le champ d'expiration vide pour un jeton permanent, ou prévoyez son renouvellement. |
| IT GlueNo verificado en una instancia real | SaaS | Objetivos 1, 3 | apiKey, organizationId | Clé d'API IT Glue (sa création requiert un compte Administrateur ; la clé elle-même est en lecture pour cette intégration). |
| Jamf ProNo verificado en una instancia real | SaaS | Objetivos 5, 18 | baseUrl, clientId, clientSecret | Client d'API Jamf Pro (Settings > API roles and clients) avec un rôle contenant UNIQUEMENT « Read Computers ». Toutes les lectures de ce connecteur sont des GET sur l'inventaire. N'ACCORDEZ PAS le privilège « View Disk Encryption Recovery Key » : ce connecteur ne lit jamais l'endpoint qui renvoie la clé de récupération FileVault, et n'a donc aucun besoin de ce droit. L'état du chiffrement est lu dans la section DISK_ENCRYPTION de l'inventaire, qui ne contient aucune clé. |
| JumpCloudNo verificado en una instancia real | SaaS | Objetivo 10 | apiKey | Créez une clé d'API depuis un compte administrateur disposant du rôle « Read-only Administrator » (Administrators > ajouter un administrateur, rôle lecture seule), puis récupérez sa clé dans son profil. Ce connecteur n'appelle que GET /systemusers. Une clé JumpCloud hérite des droits de l'administrateur qui la détient : ne réutilisez jamais celle d'un administrateur humain ayant les pleins pouvoirs. |
| Kaseya VSANo verificado en una instancia real | SaaS | Objetivos 1, 5 | username, personalAccessToken | Utilisateur dédié dont le scope est limité aux organisations de ce client, avec jeton personnel. |
| Keeper SecurityNo verificado en una instancia real | SaaS | Objetivo 10 | apiToken | Jeton d'API public limité à l'intégration « CSPM » en action 1 = READ (Risk Management API) : public-api-key generate --integrations « CSPM:1 ». Ce périmètre exclut l'écriture (set_security_benchmarks) ainsi que les API SIEM et BILLING. |
| KeycloakVerificado en una instancia real | Autoalojado | Objetivo 10 | realm, clientId, clientSecret | Service account avec exactement view-users, query-users et view-realm sur realm-management — aucune écriture. |
| KnowBe4No verificado en una instancia real | SaaS | Objetivo 4 | apiToken | Jeton généré dans la console « Reporting API » uniquement (et non « User Event API ») : l'API Reporting ne déclare que des opérations GET et ne peut donc rien écrire. KnowBe4 n'offre en revanche aucun périmètre plus fin — ce jeton lit l'ensemble des données de formation et de phishing du compte. |
| KopiaVerificado en una instancia real | Autoalojado | Objetivo 13 | username, password | Le serveur Kopia n'expose qu'un seul couple identifiant/mot de passe HTTP (--server-username / --server-password) : il n'existe pas de rôle « lecture seule » distinct. Utilisez ce couple, et non le compte de contrôle (--server-control-username), qui autorise en plus le pilotage du serveur. |
| LuccaNo verificado en una instancia real | SaaS | — | apiKey | Créez une clé d'API dédiée (Paramètres > clés d'API). Chaque clé Lucca reçoit son propre rôle, portant le nom de la clé et listé tout en bas de /organization/structure/roles : n'accordez à ce rôle que la lecture des contrats de travail du répertoire. Ce connecteur n'appelle que GET /directory/api/4.0/work-contracts et ne lit ni les congés, ni les entretiens, ni les rémunérations. |
| MeshCentralVerificado en una instancia real | Autoalojado | Objetivos 1, 11 | username, password | MeshCentral n'a pas de rôle « lecture seule » séparé : tout compte capable de lister les appareils et les comptes est un compte à droits d'administration partiels ou complets. Créez un compte dédié plutôt que de réutiliser un compte technicien existant. |
| Microsoft Defender for CloudNo verificado en una instancia real | SaaS | Objetivo 18 | tenantId, subscriptionId, clientId, clientSecret | Rôle intégré « Security Reader » (Lecteur de sécurité) sur l'abonnement, porté par un principal de service dédié. Aucune écriture n'est effectuée. |
| MimecastNo verificado en una instancia real | SaaS | Objetivo 9 | clientId, clientSecret, apiHost | Application API 2.0 créée dans Mimecast Administration Console > Services > API and Platform Integrations. Les lectures de ce connecteur demandent « Gateway | Policies | Read » (anti-usurpation et signature DKIM sortante), « Account | Dashboard | Read » (forfaits et volumétrie) et « Account | Monitoring | Held Summary | Read » (messages retenus). Attention : la lecture de la politique Cloud Integrated exige un rôle beaucoup plus large — Mimecast ne publie que super-admin, full-admin ou partner-admin pour cet appel, il n'existe aucun rôle en lecture seule pour cette partie. |
| NessusVerificado en una instancia real | Autoalojado | Objetivo 5 | accessKey, secretKey | Sur Nessus Manager, un compte dédié au rôle « Basic » (lecture des résultats de scan) suffit à notre seul appel, GET /scans, à condition que les scans lui soient partagés. Sur Nessus Essentials, Professional et Expert, le moindre privilège n'existe pas : Tenable documente que tous les utilisateurs de ces éditions ont les permissions « System Administrator ». |
| NetBirdVerificado en una instancia real | Autoalojado | Objetivo 8 | apiToken | Créez un utilisateur de service dédié (Team > Service Users) et générez-lui un jeton d'accès personnel. Ce connecteur n'appelle que des lectures (GET /api/accounts, /api/peers, /api/policies). NetBird ne publie pas d'énumération de ses rôles ni de portée par jeton : n'utilisez jamais le jeton d'un administrateur humain, et révoquez-le depuis la même page si la connexion est retirée. |
| NetBoxVerificado en una instancia realMarcador por activo posible (tras activación) | Autoalojado | Objetivo 1 | apiToken | Un jeton d'API dont la case « Write enabled » est décochée — NetBox le restreint alors aux opérations de lecture — rattaché à un utilisateur ne portant que les permissions d'objet dcim.view_device et ipam.view_ipaddress. |
| NinjaOneNo verificado en una instancia real | SaaS | Objetivos 1, 5, 9, 18 | clientId, clientSecret, organizationId | Application « Client Credentials » avec le seul scope monitoring (lecture seule), limitée à l'organisation du client. |
| OCS InventoryVerificado en una instancia real | Autoalojado | Objetivo 1 | username, password | No documentado hasta la fecha |
| OktaNo verificado en una instancia real | SaaS | Objetivo 10 | apiToken | Créez un jeton d'API (Security > API > Tokens) sur un compte de service disposant du rôle « Read-Only Administrator ». Ce connecteur n'appelle que GET /api/v1/users et GET /api/v1/policies. Le jeton hérite des droits du compte qui le crée : ne le générez jamais depuis le compte d'un super-administrateur humain. |
| OpenSearchVerificado en una instancia real | Autoalojado | Objetivo 20 | username, password | Compte du plugin de sécurité disposant au minimum de la lecture sur _cluster/health et _cat/indices. |
| OPNsense / pfSenseNo verificado en una instancia real | Autoalojado | Objetivo 7 | apiKey, apiSecret | Un utilisateur dédié, sans accès shell, porteur des deux seuls privilèges « System: Firmware » (page-system-firmware-manualupdate) et « Firewall: Rules [new] » (page-filter-api). Les ACL d'OPNsense portent sur des motifs d'URL entiers et non sur la méthode HTTP : ces deux privilèges autorisent donc aussi la mise à jour du firmware et la modification des règles de filtrage. |
| OVHcloudNo verificado en una instancia real | SaaS | Objetivo 10 | applicationKey, applicationSecret, consumerKey | Créez une application sur https://eu.api.ovh.com/createToken/ en n'autorisant QUE les routes en lecture dont ce connecteur a besoin : GET /me, GET /me/accessRestriction/totp, GET /me/accessRestriction/totp/*, GET /me/accessRestriction/sms et GET /me/accessRestriction/sms/*. N'accordez aucune route en écriture et surtout pas GET /* : la clé de consommateur porte exactement les droits que vous cochez à sa création, et c'est là que se joue le moindre privilège. |
| PayFitNo verificado en una instancia real | SaaS | — | apiKey, companyId | Créez une clé d'API dans PayFit (Intégrations > API) en ne cochant QUE la portée « contracts:read ». Ce connecteur n'appelle que GET /companies/{companyId}/contracts et ne lit ni les bulletins de paie, ni les données personnelles, ni les coordonnées bancaires. N'accordez aucune portée en écriture. |
| Pi-holeVerificado en una instancia real | Autoalojado | Objetivo 9 | appPassword | No documentado hasta la fecha |
| privacyIDEAVerificado en una instancia real | Autoalojado | Objetivo 10 | username, password | Un administrateur dédié (Config > Administrators) couvert par une policy de périmètre « admin » n'accordant que l'action « tokenlist » : les policies admin de privacyIDEA fonctionnent en liste blanche, ce compte ne peut donc rien faire d'autre que lister les jetons. |
| Proxmox Backup ServerVerificado en una instancia real | Autoalojado | Objetivo 13 | tokenId, secret | Jeton d'API dédié dont l'entrée d'ACL porte le rôle DatastoreAudit sur /datastore — lecture des métadonnées et de la liste des sauvegardes, sans accès aux données sauvegardées. Le jeton a besoin de sa propre entrée d'ACL : le rôle donné à l'utilisateur ne suffit pas. |
| Proxmox VENo verificado en una instancia realMarcador por activo posible (tras activación) | Autoalojado | Objetivos 1, 13 | tokenId, secret | Token d'API avec Privilege Separation activée et le rôle PVEAuditor sur / avec propagation. |
| Qualys CSAMNo verificado en una instancia real | SaaS | Objetivo 1 | username, password | No documentado hasta la fecha |
| Rapid7 InsightVMNo verificado en una instancia real | Autoalojado | Objetivos 5, 17 | username, password | No documentado hasta la fecha |
| ScalewayNo verificado en una instancia real | SaaS | Objetivo 10 | secretKey, organizationId | Créez une application IAM dédiée (IAM > Applications), donnez-lui une politique ne portant que la permission « IAMReadOnly » au périmètre de l'organisation, puis générez-lui une clé d'API. Ce connecteur n'appelle que GET /iam/v1alpha1/users. Une clé Scaleway restreinte à d'autres ressources répond 403 sur cette route — c'est le comportement attendu, et la permission ci-dessus est la seule à accorder. |
| Sekoia.ioNo verificado en una instancia real | SaaS | Objetivos 12, 20 | apiKey | No documentado hasta la fecha |
| SentinelOneNo verificado en una instancia real | SaaS | Objetivos 9, 12 | apiToken | No documentado hasta la fecha |
| Snipe-ITVerificado en una instancia real | Autoalojado | Objetivo 1 | apiToken | Utilisateur non-admin dédié, rattaché à un groupe de permissions (Admin > Groups) n'accordant que la consultation des actifs — le jeton personnel hérite exactement des droits de cet utilisateur, sans droit de création, de modification ni de suppression. |
| Sophos CentralNo verificado en una instancia real | SaaS | Objetivos 9, 18 | clientId, clientSecret | Identifiants d'API avec le rôle « Service Principal Read-Only », créés au niveau du tenant et non du partenaire. |
| SoSafeNo verificado en una instancia real | SaaS | Objetivo 4 | apiKey, keyId | Clé d'API SoSafe créée dans le manager, avec son identifiant de clé (keyId). Toutes les lectures de ce connecteur sont des GET sur les données d'e-learning et de simulation de phishing. L'API SoSafe est une option premium : si la clé est refusée avec un code 403 plutôt que 401, c'est l'autorisation d'accès à l'API qui manque et non la clé qui est fausse. |
| SplunkVerificado en una instancia real | Autoalojado | Objetivos 12, 20 | token | Rôle disposant des capacités list_indexes et list_search (le rôle intégré « power » suffit ; « admin » n'est pas nécessaire), porté par un compte de service dédié avec un jeton d'authentification révocable. Aucune écriture n'est effectuée. |
| Synology DSMNo verificado en una instancia real | Autoalojado | Objetivo 13 | account, password | Créez un utilisateur DSM dédié (Panneau de configuration > Utilisateur et groupe) sans droit d'administration et sans accès aux dossiers partagés : ce connecteur n'appelle que SYNO.API.Info et SYNO.API.Auth. La double authentification doit être désactivée sur ce seul compte de service — DSM refuse une connexion par API lorsqu'elle est exigée (codes 403 et 406). |
| Tactical RMMNo verificado en una instancia real | Autoalojado | Objetivos 1, 5 | apiKey | Une clé API est émise POUR un utilisateur et hérite de son rôle — créez un utilisateur dédié avec un rôle en lecture seule (Settings > User Management > Roles) avant de générer sa clé (Settings > Global Settings > API Keys). |
| TeleportVerificado en una instancia real | Autoalojado | Objetivos 8, 11 | username, password, otpSecret | Créez un rôle dédié accordant uniquement `read`/`list` sur user, role, node, event, session et cluster_auth_preference, plus `node_labels: {'*': '*'}` avec `logins: []`. Les labels sont indispensables : sans eux la liste des ressources revient VIDE au lieu de refuser, et `logins` vide garantit que le compte voit le parc sans pouvoir y ouvrir de session. N'utilisez pas les rôles intégrés `editor` ou `access`. |
| Tenable Vulnerability ManagementNo verificado en una instancia real | SaaS | Objetivos 5, 17 | accessKey, secretKey | No documentado hasta la fecha |
| TheHiveVerificado en una instancia real | Autoalojado | Objetivo 12 | apiKey | Créez un utilisateur dédié dans l'organisation concernée avec le profil intégré « read-only », puis générez sa clé d'API (Organisation > Users > Preview > API key). Ce profil n'accorde aucune permission d'écriture et suffit à compter les dossiers — vérifié. |
| ThreatDown (Malwarebytes)No verificado en una instancia real | SaaS | Objetivo 9 | clientId, clientSecret, accountId | Couple client_id / client_secret de portée « read ». |
| UrBackupVerificado en una instancia real | Autoalojado | Objetivo 13 | username, password | Compte web dédié dont l'éditeur de droits n'accorde que le domaine « status » (sur « all » pour couvrir tous les clients) — consultation du dernier état des clients, sans droit de parcourir ou télécharger les sauvegardes (browse_backups) ni de modifier les réglages (settings). |
| VadeNo verificado en una instancia real | SaaS | Objetivo 9 | login, password | No documentado hasta la fecha |
| VeeamNo verificado en una instancia real | Autoalojado | Objetivo 13 | username, password, apiVersion | Compte dédié portant le seul rôle Backup Viewer — accès en lecture seule, suffisant pour lister les tâches et leur dernier résultat. |
| VMware vSphereNo verificado en una instancia real | Autoalojado | Objetivo 1 | username, password | Utilisateur vCenter SSO avec le rôle « Read Only » sur l'objet racine, propagé aux enfants. |
| WALLIX BastionNo verificado en una instancia real | Autoalojado | Objetivos 11, 19 | baseUrl, apiUser, apiKey | Utilisateur Bastion dédié en lecture seule, avec une clé d'API (et non le mot de passe d'un administrateur humain) : la clé se révoque seule. Toutes les lectures de ce connecteur sont des GET sur les autorisations, les équipements et les comptes. CE CONNECTEUR N'ENVOIE JAMAIS le paramètre `passwords=true` sur /api/accounts, qui ferait renvoyer en clair les mots de passe et les clés privées des comptes à privilèges. Le profil de l'utilisateur n'a donc aucun besoin du droit « Credential recovery », et il ne faut pas le lui accorder. |
| WazuhVerificado en una instancia real | Autoalojado | Objetivos 12, 20 | username, password | Utilisateur API dédié dont la seule policy RBAC autorise l'action « agent:read » sur les ressources « agent:id:* » et « agent:group:* » — aucune autre action n'est nécessaire. |
| WithSecure ElementsNo verificado en una instancia real | SaaS | Objetivos 5, 9 | clientId, clientSecret | Dans WithSecure Elements Security Center, créez des identifiants d'API (Management API credentials) en lecture seule et n'accordez que la portée « connect.api.read ». Ce connecteur n'appelle que POST /as/token.oauth2 et GET /devices/v1/devices : il ne lit ni les événements de sécurité, ni les détails des menaces, et n'exécute aucune action sur les appareils. |
| ZabbixVerificado en una instancia real | Autoalojado | Objetivo 13 | apiToken | Jeton API émis pour un utilisateur de type « User » (le type le moins privilégié), dans un rôle dont « Access to API » est activé et dont l'« Allow list » se limite à host.get et problem.get, le compte n'ayant qu'un accès en lecture aux groupes d'hôtes à superviser. |
| ZitadelVerificado en una instancia real | Autoalojado | Objetivo 10 | pat | Utilisateur de service portant le seul rôle d'administration ORG_OWNER_VIEWER (« Org Owner Viewer ») sur l'organisation — lecture seule, aucune permission d'écriture. |
Conectores de agencia, toda la cartera (22)
Un solo juego de credenciales lee toda la cartera — una exposición de naturaleza distinta, y por eso tiene su propia sección.
| Herramienta | Alojamiento | Objetivos ReCyF leídos | Credenciales conservadas | Derecho de acceso necesario |
|---|---|---|---|---|
| Action1Verificado en una instancia real | SaaS | Objetivos 1, 5 | clientId, clientSecret | Identifiants d'API limités à un rôle personnalisé ne portant qu'une seule permission : « View Endpoints », au périmètre « Enterprise ». La liste des organisations (GET /organizations) n'exige aucune permission ; seule sa création en exige une. Le rôle intégré « Enterprise Viewer » fonctionne aussi, mais il ajoute « Use Scripts » et plusieurs lectures dont ce connecteur n'a pas besoin. |
| Cisco MerakiVerificado en una instancia real | SaaS | Objetivos 1, 5 | apiKey | Clé d'API Meraki en lecture seule (rôle « read-only » sur l'organisation). |
| Comet BackupNo verificado en una instancia real | SaaS | Objetivo 13 | username, password | Compte administrateur dédié portant la permission « Restrict this account to read-only access » : toute méthode d'API qui écrit est refusée côté serveur Comet. Ce compte ne peut plus ouvrir la console d'administration, ce qui est sans conséquence ici — chaque appel transmet ses identifiants et n'ouvre aucune session. Le serveur doit avoir le rôle « Auth » activé. |
| ConnectSecureNo verificado en una instancia real | SaaS | Objetivos 5, 18 | baseUrl, tenant, clientId, clientSecret | Clé d'API créée sur un utilisateur dédié (Global > Settings > Users > Action > API Key). Toutes les lectures de ce connecteur sont des GET sous le préfixe /r/ (lecture seule côté API). Le client_id et le client_secret n'expirent pas, mais le jeton d'accès qu'ils produisent est limité à deux heures par ConnectSecure : chaque synchronisation s'authentifie pour elle-même. La clé hérite des droits de l'utilisateur qui l'a créée — créez-la sur un compte en lecture seule, et non sur un compte d'administration globale. |
| Datto Autotask PSANo verificado en una instancia real | SaaS | — | apiIntegrationCode, username, secret | Utilisateur de licence « API User (API-only) » portant un niveau de sécurité personnalisé — une copie restreinte, pas le niveau système « API User (system) », qui donne un accès complet à toutes les données Autotask. Dans la catégorie CRM : « Organization & Contact Access » sur « All » (sans quoi aucun client n'est visible), et dans « Object Permissions » les lignes « Organizations » et « Devices & Subscriptions » en « View » seule, Add / Edit / Delete sur « None ». |
| DomotzVerificado en una instancia real | SaaS | Objetivo 1 | apiKey | Clé d'API « Full Access ». Domotz ne propose que deux types de clé — « Full Access API Key » et « Agent Activation only API Key » — et la seconde ne sait qu'activer des collecteurs : aucune clé en lecture seule n'existe. La clé qui permet ces lectures permet donc aussi d'écrire dans l'ensemble de l'API publique. |
| EasyDMARCNo verificado en una instancia real | SaaS | Objetivo 9 | clientId, clientSecret | Identifiants OAuth2 (client_id / client_secret) créés dans la console de compte EasyDMARC, section « API Credentials ». Toutes les lectures de ce connecteur sont des GET ou des recherches ; aucune écriture n'est effectuée. EasyDMARC ne documente pas de portée (scope) restreinte pour ces identifiants : le jeton émis porte la portée « public-api » et nous ne pouvons donc pas affirmer qu'il est limité à la lecture. |
| HaloPSAVerificado en una instancia real | SaaS | — | clientId, clientSecret, authUrl | Application API « Client Credentials » portant exactement deux permissions, toutes deux en lecture : « read:customers » (GET /Client, la liste des clients) et « read:assets » (GET /Asset, l'inventaire). Aucune permission d'écriture, et pas le scope « all ». |
| HeimdalNo verificado en una instancia real | SaaS | Objetivos 5, 9, 11 | apiKey, resellerCustomerId | Clé d'API personnelle générée dans le Dashboard Heimdal (onglet Guide > Your Heimdal API Key). Toutes les lectures de ce connecteur sont des GET. La clé HÉRITE des droits du compte Dashboard qui l'a générée et il n'existe aucune portée plus fine : créez-la depuis un compte dont le rôle se limite à la consultation des clients concernés, et non depuis le compte super-admin. Heimdal n'accepte les appels d'API QUE depuis les adresses IP déclarées comme fiables sur ce compte (section Accounts) — l'adresse de sortie de Vigicap doit y figurer, sinon la clé est refusée sans que la réponse le dise. |
| HornetsecurityNo verificado en una instancia real | SaaS | Objetivo 9 | apiToken, appId | No documentado hasta la fecha |
| HuduVerificado en una instancia real | SaaS | Objetivo 1 | apiKey | Clé d'API créée sans l'option d'accès aux mots de passe, sans les actions destructrices (DELETE), restreinte aux sociétés à lire et à une liste d'adresses IP autorisées. Hudu ne propose pas de clé en lecture seule : désactiver les actions destructrices retire le DELETE, pas la création ni la modification. Ces options ne se règlent qu'à la création de la clé. |
| HuntressVerificado en una instancia real | SaaS | Objetivos 1, 10, 12, 18 | apiKey, apiSecret | Clé d'API Huntress en lecture (compte partenaire). |
| Kaseya BMSNo verificado en una instancia real | SaaS | — | username, password, tenant | Employé de type « Api Employee » — il ne peut pas se connecter à l'interface et ne consomme aucune licence — portant un rôle de sécurité interne personnalisé : « Allow View All » sur les seuls modules CRM et Service Desk, plus « API Access » (Admin > Security > Roles > Admin), obligatoire pour tout rôle autre qu'Administrator. Surtout pas le rôle prédéfini « Administrator ». |
| KeepitNo verificado en una instancia real | SaaS | Objetivo 13 | region, tokenUser, tokenPassword | Jeton d'API secondaire créé sur un utilisateur dédié (profil > User info > Security > Secondary tokens > Add API token). Les lectures de ce connecteur sont toutes des GET. Attention : un jeton Keepit HÉRITE des droits du compte qui l'a créé — il n'existe aucune portée plus fine — donc créez-le sur un utilisateur dont les droits sont volontairement limités, et non sur le compte d'administration principal. La durée de vie est choisie à la création et la valeur n'est affichée qu'une fois. |
| LansweeperNo verificado en una instancia real | SaaS | — | apiToken | Jeton d'accès personnel (« Personal Access Token ») autorisé sur les seuls sites à lire, avec une date d'expiration. Lansweeper ne propose aucune portée lecture / écriture sur ce jeton : il se restreint par site et par durée, pas par opération. |
| LiongardNo verificado en una instancia real | SaaS | — | accessKey, accessSecret | No documentado hasta la fecha |
| N-able N-centralNo verificado en una instancia real | SaaS | Objetivo 1 | jwt | Créez un utilisateur « API-Only » (Administration > Utilisateurs) et donnez-lui un rôle en lecture seule portant uniquement la vue des clients et des appareils. Ce connecteur n'appelle que GET /api/customers et GET /api/devices, plus POST /api/auth/authenticate qui ne fait qu'ouvrir une session. N'utilisez jamais le compte d'un administrateur humain : le JWT d'un utilisateur API-Only est permanent et ne doit appartenir qu'à Vigicap. |
| SendmarcNo verificado en una instancia real | SaaS | Objetivo 9 | apiKey | APIKEY créé sur un utilisateur portant le rôle « Partner Project Engineer », le moins étendu des rôles partenaire. Attention : Sendmarc n'a aucun rôle partenaire en lecture seule — ce rôle conserve la création, la modification et la suppression des comptes clients, de leurs utilisateurs et de leurs domaines. Le seul rôle en lecture, « Account Viewer », ne voit qu'un compte et ne peut pas énumérer votre portefeuille. |
| SonicWall NSMNo verificado en una instancia real | SaaS | Objetivos 5, 18 | baseUrl, tenantSerial, ssoCode | Utilisateur NSM dédié en lecture seule, et un code SSO obtenu depuis MySonicWall pour ce tenant. Toutes les lectures de ce connecteur sont des GET. IMPORTANT : ne saisissez PAS ici votre clé d'API MySonicWall — ce connecteur n'en a pas besoin et ne doit pas la détenir, car c'est la clé qui permet de commander et de réaffecter des licences. Seuls le code SSO (à durée de vie limitée) et le numéro de série du tenant sont demandés. |
| SuperOpsVerificado en una instancia real | SaaS | Objetivo 1 | apiToken, subdomain | Jeton d'API émis par un utilisateur dédié dont le rôle n'a que deux permissions, toutes deux en lecture : « Client Settings > Client » en « View only » et « Asset Management > Asset » en « View ». La portée « All Clients » doit être activée, sinon seuls les actifs des clients rattachés à ce technicien remontent. Aucune permission « Edit » : elle n'est requise que pour une synchronisation bidirectionnelle, que ce connecteur ne fait pas. |
| SyncroNo verificado en una instancia real | SaaS | Objetivo 9 | subdomain, apiKey | Jeton d'API créé sur un utilisateur dédié, ne portant que deux permissions : « Customers - List/Search » et « Assets - List/Search ». Ce sont celles que la documentation Syncro exige pour les deux seuls points d'API lus ; aucune permission d'écriture n'est nécessaire. |
| UniFi Site ManagerNo verificado en una instancia real | SaaS | Objetivos 1, 5 | apiKey | Clé d'API Site Manager, en lecture seule — c'est l'état actuel de toute clé Site Manager, et Ubiquiti annonce qu'il changera dès que des points d'écriture existeront. La clé n'a aucune portée propre : elle est liée au compte qui l'a créée et voit tous les sites de ce compte. La restreindre passe donc par le compte, pas par la clé. |
Salida hacia una herramienta PSA (7)
La única familia que ESCRIBE. Un flujo saliente exige más documentación que uno entrante, porque es el caso en el que unos datos salen hacia un sistema que no administramos.
| Herramienta | Alojamiento | Objetivos ReCyF leídos | Credenciales conservadas | Derecho de acceso necesario |
|---|---|---|---|---|
| AteraNo verificado en una instancia real | SaaS | — | apiKey | Clé d'API Atera. ÉCRITURE : la clé Atera n'est pas cloisonnable en lecture seule — elle porte les droits du compte qui l'a créée. LECTURE : la même clé relit le ticket ; aucune portée distincte n'existe, ce qui est précisément pourquoi la phrase précédente est écrite telle quelle. |
| ConnectWise ManageVerificado en una instancia real | SaaS | — | companyId, publicKey, privateKey | Membre d'API ConnectWise (clés publique + privée). ÉCRITURE : droit de création sur le board de tickets visé. LECTURE : droit de lecture sur ce même board (Service Desk → Service Tickets), pour relire le statut d'un ticket déjà créé. |
| Datto AutotaskNo verificado en una instancia real | SaaS | — | apiIntegrationCode, username, secret | Utilisateur d'API Autotask dédié. ÉCRITURE : droit de création de tickets sur la file visée. LECTURE : le niveau de sécurité de l'utilisateur d'API doit accorder la vue des tickets — l'entité Ticket respecte les droits View/Add/Edit du compte connecté. |
| HaloPSAVerificado en una instancia real | SaaS | — | clientId, clientSecret, authUrl | Application API « Client Credentials » portant exactement trois permissions : « edit:tickets » (ÉCRITURE — création du ticket, POST /Tickets), « read:tickets » (relecture du statut, GET /Tickets/{id}) et « read:customers » (vérification de l'ID client au moment où il est saisi, GET /Client/{id}). Aucune autre, et pas le scope « all ». |
| JiraNo verificado en una instancia real | SaaS | — | email, apiToken | Jeton d'API Atlassian d'un compte applicatif. ÉCRITURE : le jeton porte les droits du compte qui l'a créé — Jira ne cloisonne pas un jeton par projet, donc le compte doit être limité côté Jira aux projets concernés (Browse projects + Create issues) plutôt que le jeton côté Vigicap. LECTURE : le même jeton relit l'issue ; aucune portée distincte n'existe, ce qui est précisément pourquoi la phrase précédente est écrite telle quelle. |
| NinjaOneNo verificado en una instancia real | SaaS | — | clientId, clientSecret | Application « Client Credentials », scope monitoring/management. ÉCRITURE : management est requis pour créer un ticket. LECTURE : le même jeton relit le ticket et la liste des statuts ; NinjaOne ne documente pas de portée plus étroite pour /v2/ticketing. |
| ServiceNowNo verificado en una instancia real | SaaS | — | username, password | Compte applicatif ServiceNow en authentification de base. ÉCRITURE : le rôle doit permettre la création dans la table visée (par défaut `incident`) — `itil` suffit et `admin` n'est pas nécessaire. LECTURE : le même compte relit l'enregistrement par son sys_id. ServiceNow permet de restreindre le compte par ACL et par table, ce qui est le bon endroit pour le faire : le mot de passe côté Vigicap ne porte aucune portée. |
Los mismos datos, en formato JSON: /api/connectors/data-inventory