Tokens

Les tokens projet Pionne sont les clés utilisées par le SDK pour s’authentifier sur /api/ingest.

Format

pio_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

• Préfixe pio_live_ (réservé pour les tokens de production).
• 48 caractères base62 random (a-zA-Z0-9).
• Entropie : ~285 bits — résistant au brute force.

Scope

Un token projet a un scope strictement écriture sur /api/ingest. Il ne peut pas :

• Lister tes events ou issues.
• Modifier ton projet.
• Accéder à d’autres projets.
• Lire ou modifier ton compte utilisateur.

C’est pour ça qu’il est safe de bundler le token dans ton app.

Stockage côté serveur

Pionne ne stocke jamais le token en clair :

Stocké	Usage
Hash bcrypt (cost 10)	Vérification au login d’un event
Lookup 12 premiers chars (indexé)	Lookup rapide avant le bcrypt

Si quelqu’un obtient un dump de la base, il ne peut pas récupérer les tokens originaux.

Régénération

Deux façons de régénérer :

Depuis l’app mobile

Settings → Project → Token → “Regenerate”. Le nouveau token s’affiche une seule fois ; l’ancien est invalidé instantanément.

Via API

curl -X POST https://api.pionne.app/projects/\{id\}/regenerate \
  -H "Authorization: Bearer <user-token>"

Réponse :

{ "token": "pio_live_yyyyyyyyyy..." }

Attention

La régénération est immédiate. Si ton app de prod est en train d’envoyer des events au moment où tu régénères, ils prendront 401. Coordonne le redéploiement avec la rotation.

Quand régénérer ?

• Tu as commit ton .env par erreur sur GitHub.
• Tu suspectes une fuite (pic d’events anormal sur un Bundle ID que tu ne reconnais pas).
• Un dev quitte l’équipe.
• Rotation périodique (best practice : tous les 6-12 mois).

Auth tokens (différents)

À ne pas confondre avec les auth tokens user émis par Sanctum (cf. API Auth). Ceux-ci :

• Format : <id>|<random> (ex: 2|abcXYZ...).
• Scope : lecture/écriture sur tout ton compte.
• Utilisés par : l’app mobile Pionne, la CLI upload-sourcemaps, tes scripts CI.
• Jamais à bundler dans une app.

Bonnes pratiques

• Tokens projet → dans .env + EXPO_PUBLIC_PIONNE_TOKEN, safe à bundler.
• Auth tokens user → dans EAS Secrets / GitHub Secrets, jamais bundlés.
• Activez le Bundle ID pinning (auto, rien à faire) pour limiter l’impact d’une fuite.

Voir aussi

• Bundle ID pinning
• API Ingest
• API Auth