🔒 Mode lecture seule — Rôle QA actif. Les actions de création et de modification sont désactivées. Lecture seule
Projet :
⚡ Mode : 👤 Rôle : BA
UN

Backoffice — Clés ClickUp par utilisateur

Gestion sécurisée des clés API ClickUp. Les clés ne sont jamais affichées complètement.

⌂ Accueil Projets
🔒 Chiffrement : PBKDF2-SHA256 + XOR stream (100 000 itérations, sel aléatoire par clé)  |  📁 Stockage : data/security/clickup_user_credentials.json (chmod 600)  |  ⚠️ Mode lab temporaire — remplacer par AESGCM en production
✅ Fallback env_admin_temp disponible
CLICKUP_API_KEY définie — utilisée si aucune clé utilisateur n'est configurée
📋 Ordre de résolution
1. Clé utilisateur (backoffice)  →  2. env_admin_temp (CLICKUP_API_KEY)  →  3. Erreur

Clés configurées (0)

Aucune clé utilisateur configurée. Le fallback env_admin_temp (CLICKUP_API_KEY) est actif.

Enregistrer une clé

Identifiant libre (BA_Tijani, admin, etc.). Sera visible dans les audits.
Commence par pk_. Sera chiffrée immédiatement — jamais affichée complète.
⚠️ La clé est chiffrée avec PBKDF2-SHA256 + XOR stream (mode lab). Pour la production, remplacer par AESGCM. Seuls les 4 derniers caractères sont stockés en clair.
Informations techniques et limites de sécurité

Chiffrement : PBKDF2-SHA256 (100 000 itérations) + XOR stream cipher.

Sel : 16 bytes aléatoires par clé (unique par utilisateur).

Clé maître : data/security/.master_key (chmod 600, 256 bits).

Stockage : data/security/clickup_user_credentials.json (chmod 600).

Logs : Seuls les 4 derniers caractères (last4) sont loggués.

Test connexion : GET /api/v2/user uniquement — aucun PUT/POST/DELETE.

Limites actuelles : Pas d'authentification d'intégrité (pas d'AES-GCM ou HMAC sur le chiffré). Un attaquant ayant accès au fichier ET à la clé maître peut déchiffrer. Recommandation production : installer cryptography et passer à Fernet ou AESGCM.

Fallback : Si aucune clé utilisateur, CLICKUP_API_KEY env est utilisé avec auth_mode=env_admin_temp tracé dans les audits.