Partage public

Stratt sait ouvrir une fraction de son contenu à quelqu’un qui n’a pas de compte : un élu à qui l’on rend compte, un agent d’un autre service à qui l’on donne accès à l’assistant. Le lien tient lieu de justificatif : le posséder suffit.

Trois décisions vous reviennent donc, et aucune n’est technique :

1. Un lien par destinataire, et non un lien pour tous. C’est le seul moyen de retirer l’accès d’une personne sans le retirer à toutes — là où le retrait est possible — et de savoir de qui vient une fuite.
2. Ne jamais diffuser un lien en clair à un public large : une liste de diffusion, un groupe de messagerie, un ordre du jour mis en ligne. Un lien recopié dans un document partagé est un lien devenu public.
3. Retirer un lien dès qu’il n’est plus utile. Les liens de l’assistant se révoquent ; le lien du tableau de bord élu, non — sa durée de validité est alors votre seul levier, et c’est pourquoi il faut la choisir courte.

Deux familles de liens existent, et elles n’ont ni la même durée de vie, ni le même contenu, ni les mêmes moyens de reprise.

Le tableau de bord élu

Un lien en lecture seule vers une synthèse des achats de la collectivité pour un exercice. Il s’émet depuis l’écran Cartographie, par le bouton « Partage élu ».

Ce que le destinataire voit

La fenêtre d’émission l’énumère, et c’est la liste exacte :

• le volume total des achats et la variation par rapport à l’exercice précédent ;
• la répartition par direction ou service prescripteur ;
• la répartition entre Fournitures, Services et Travaux ;
• le taux de conformité des procédures.

S’y ajoutent le nom et le logo de la collectivité, le nombre de fournisseurs distincts, la répartition entre investissement et fonctionnement, et les principaux codes de nomenclature.

Ce qu’il ne voit pas : aucune pièce jointe, aucun fournisseur nommé, aucun montant ligne à ligne, aucun écran de l’application. Le lien ouvre une synthèse agrégée, pas un accès à Stratt.

La page que reçoit le destinataire

Le lien n’ouvre pas Stratt : il ouvre une page dédiée, en dehors de l’application, qui ne demande ni compte ni mot de passe. Elle porte le nom et le logo de la collectivité, l’exercice consulté, et la date à laquelle la synthèse a été produite. Rien n’y est modifiable, et aucun écran de l’application n’est atteignable depuis elle.

Lorsque le lien a atteint son terme, ou qu’il a été altéré en route, la page l’annonce sobrement — « Lien expiré ou invalide » — et invite le destinataire à « demander un nouveau lien à votre service achats ». Un destinataire qui vous signale ce message n’a pas rencontré une panne : son lien est simplement arrivé à échéance.

Par l’API

curl -s -X POST https://api.stratt.fr/api/v1/share \
  -H "Authorization: Bearer $STRATT_TOKEN" \
  -H "X-Organization-Id: $STRATT_ORG_ID" \
  -H "Content-Type: application/json" \
  -d '{"ttl_days":30,"label":"Conseil municipal octobre","exercice":2026}'

Les trois champs sont optionnels : ttl_days vaut 30 par défaut et est plafonné à 365, exercice prend l’exercice en cours, label est une note pour vous. La réponse porte token, url, expires_at, ttl_days, exercice et label.

Le destinataire, lui, consomme une route publique qui ne demande aucune authentification au-delà du lien :

GET /api/public/share/:token/stats

Permissions requises

procurement.read pour émettre un lien. Ce n’est pas une permission d’administration : la plupart des comptes qui consultent la cartographie peuvent donc en produire un. Tenez-en compte dans la revue de vos droits.

Limites connues

• Un lien émis ne peut pas être révoqué avant son échéance. Il n’y a pas de liste des liens actifs, ni de bouton de retrait. Un lien transmis par erreur reste valable jusqu’au terme choisi — raison de plus pour prendre 7 jours plutôt que 90.
• Le millésime se lit dans l’adresse. Le destinataire peut en changer et consulter la synthèse d’un autre exercice de la même collectivité. Le partage porte donc sur la synthèse des achats, pas sur un exercice précis ; ne comptez pas sur l’année pour borner ce que vous ouvrez.
• Le label n’est pas conservé : il n’apparaît que dans la réponse à l’émission. Notez de votre côté à qui vous avez envoyé quoi.

Les liens publics de l’assistant

Un lien qui ouvre l’assistant de classification à quelqu’un sans compte. Ils se gèrent depuis l’écran Assistant nomenclature, onglet « Liens publics ».

Par l’API

POST   /api/v1/chatbot/tokens
GET    /api/v1/chatbot/tokens
DELETE /api/v1/chatbot/tokens/:id

La création accepte label et expires_in_days, où 0 signifie « pas d’expiration ». Côté destinataire, les routes publiques sont préfixées /api/public/chatbot/chat/:token : l’envoi d’un message, l’historique de la conversation en cours, les derniers échanges, les suggestions, et un retour d’appréciation.

Permissions requises

procurement.read, et la souscription au module « Chatbot IA ».

Limites connues

• 0 = jamais veut dire jamais. Un lien créé sans expiration reste valable tant que personne ne le révoque. Préférez une durée, même longue.

• Une conversation tenue par un lien public n’est pas privée. Quiconque ouvre ce même lien voit les derniers échanges qui y ont eu lieu. Les suggestions de questions proposées à l’ouverture, elles, sont tirées des questions les plus posées de toute l’organisation — y compris par des comptes internes, et pas seulement par ce lien.

  Deux décisions en découlent. D’abord, ne mélangez pas sur un même lien des publics qui ne devraient pas se lire : un lien par destinataire, ou par groupe homogène. Ensuite, dites-le à vos destinataires : ce qu’ils écrivent là sera lu par les suivants, et une question peut en dire long sur un dossier. Si une conversation doit rester confidentielle, elle n’a pas sa place sur un lien public.

• Pas de limite de débit propre au lien : un lien diffusé largement peut être sollicité sans frein.

Avant d’envoyer

Deux vérifications, chaque fois, et elles prennent une minute :

1. Ouvrez le lien vous-même, dans une fenêtre où vous n’êtes pas connecté. C’est la seule façon de constater ce que vous transmettez, et non ce que vous croyez transmettre.
2. Notez de votre côté à qui vous l’avez remis, et jusqu’à quand. Stratt ne tient pas ce registre à votre place : les liens du tableau de bord élu ne sont pas listés, et le libellé que vous leur donnez n’est pas conservé.

Et une consigne à faire passer avec le lien : ne pas le rediffuser. Un destinataire ne devine pas qu’un lien vaut un mot de passe ; dites-le. La page Sécurité reprend ce point avec les autres bonnes pratiques attendues d’une organisation.