Gérer les utilisateurs

Réglages → Administration. L’onglet n’est dessiné que pour un compte dont le rôle est admin ; Inscriptions ouvertes dit d’où vient ce rôle et pourquoi l’onglet peut n’être pas là du tout.

Ce que dit le tableau

Une ligne par compte de l’instance, le plus ancien d’abord :

Colonne	Ce qu’elle porte
Utilisateur	le nom d’utilisateur, le nom complet et l’email, avec `(vous)` sur votre ligne
Rôle	`Admin`, `Utilisateur`, ou `Démo` pour le compte de démonstration en lecture seule
Sécurité	`2FA active` ou `2FA inactive`, en bouclier coché ou barré
Créé le	le jour où le compte a été ouvert
Dernière connexion	la date de la session la plus récente, et combien de sessions sont encore vivantes
Clés API	combien de ses clés n’ont pas été révoquées
Comptes	combien de comptes de patrimoine il possède
Opérations	combien d’opérations à travers ces comptes

Une session compte tant que son jeton de rafraîchissement n’est ni révoqué ni expiré, si bien que ce chiffre est celui des sessions vivantes plutôt que des connexions jamais faites. Un compte qui ne s’est jamais connecté affiche Jamais.

Supprimer un compte

La corbeille au bout d’une ligne demande confirmation, nomme le nom d’utilisateur, et supprime ce compte avec tout ce qu’il possède. Il n’y a pas de retour en arrière, et rien n’est exporté au passage : si les données comptent, prenez un export depuis la session de ce lecteur-là d’abord.

Deux suppressions sont refusées net :

La vôtre. Vous ne pouvez pas supprimer votre propre compte ici. Réglages → Données porte celle qui supprime le vôtre, et elle demande votre mot de passe.
Le dernier administrateur. Impossible de supprimer le dernier administrateur. Le décompte ignore le compte de démonstration, qui est en lecture seule et n’administre rien, si bien qu’un badge d’admin sur lui ne tient jamais lieu d’un vrai.

D’où vient le premier administrateur

Rien n’accorde le rôle depuis l’interface. À chaque démarrage l’application compte les administrateurs réels, hors démonstration, et quand il n’y en a aucun elle promeut le plus ancien compte de l’instance et le dit dans docker compose logs app :

Promoted "<username>" to admin (no admin existed)

C’est ainsi qu’une installation à un seul lecteur plus ancienne que cet écran finit par en avoir un. Le contrôle est sauté plutôt que fatal quand la base n’est pas encore levée, et il recommence au démarrage suivant.

Les routes qui sont derrière

Route	Ce qu’elle fait
`GET /api/admin/users`	le tableau ci-dessus
`DELETE /api/admin/users/:id`	une suppression, avec les deux refus
`GET /api/admin/settings`	les deux interrupteurs de cet onglet
`PUT /api/admin/settings`	déplace celui des deux qui a été envoyé

Toutes les quatre répondent 403 Réservé à l'administrateur à quiconque d’autre, quoi que porte la session.

Confidentialité