Workspaces und Berechtigungen

Ein mit Emailit verbundener KI-Assistent kann nie mehr tun als Sie selbst. Was er tun kann, hängt von drei Dingen ab: welche Workspaces Sie erlaubt haben, Ihrer Rolle im jeweiligen Workspace und dem Scope, den Sie freigegeben haben.

Workspace-Zugriff

Beim Verbinden fragt die Zustimmungsseite, welche Workspaces die App nutzen darf:

Wenn Sie mehr als einen erlauben, wählen Sie auch, wo die App startet: ihren Standard-Workspace für Anfragen, die keinen Workspace nennen.

Beides können Sie später unter Account›Connected apps mit Edit access ändern. Änderungen gelten ab der nächsten Anfrage der App, ohne erneute Verbindung. Wenn Sie einen Workspace verlassen oder jemand Sie entfernt, verliert auch die App den Zugriff darauf.

Workspace für eine Anfrage wählen

Mit OAuth akzeptiert jedes Tool außerhalb des Toolsets Workspace zusätzlich das optionale Argument workspace: eine Workspace-ID oder den exakten Namen des Workspaces. Es führt genau diesen einen Aufruf in diesem Workspace aus, ohne den Standard zu ändern; zwei Chats, die in verschiedenen Workspaces arbeiten, kommen sich also nicht in die Quere. Assistenten übergeben es, wenn Sie einen Workspace nennen („In Acme Client die Domains auflisten“).

Der Standard-Workspace bleibt über Token-Erneuerungen hinweg erhalten; eine lange Sitzung arbeitet also dort weiter, wo Sie aufgehört haben.

Rollen

Tools laufen mit Ihrer Rolle im Ziel-Workspace, genau wie in der Weboberfläche. Inhaber und Admins können alles tun, was der Scope erlaubt. Mitglieder mit der Rolle Member können nicht:

• API-Schlüssel erstellen, umbenennen, löschen oder neu generieren (create-api-key, update-api-key, delete-api-key, regenerate-api-key),
• Versanddomains löschen (delete-domain).

Wenn ein Mitglied mit der Rolle Member eine dieser Aktionen anfordert, gibt das Tool den Fehler admin_role_required zurück, der den Workspace und Ihre Rolle nennt, und nichts ändert sich. Bitten Sie einen Admin des Workspaces, das zu erledigen oder Ihre Rolle zu ändern. Dieselben Rollenprüfungen gelten für OAuth-Aufrufe der REST-API.

Scopes

Die meisten KI-Tools fordern beide Scopes an. Wenn eine Verbindung ohne full ein Tool aufruft, das diesen Scope braucht, gibt das Tool einen Fehler wegen eines fehlenden Scopes zurück. Clients, die Step-up-Autorisierung unterstützen, etwa ChatGPT, zeigen den Freigabebildschirm von Emailit erneut an, damit Sie full gewähren können; bei anderen Clients widerrufen Sie die Verbindung und verbinden sich erneut mit Vollzugriff.

Verbindungen mit API-Schlüssel funktionieren anders: Der Server blendet Tools aus, die der Schlüssel nicht aufrufen kann; ein reiner Sende-Schlüssel sieht also immer nur die Tools zum Senden.

Tokens und Sitzungen

Die Wiederverwendung eines alten Refresh-Tokens widerruft die gesamte Verbindung; das schützt Sie, wenn ein Token nach außen gelangt. Der MCP-Server selbst ist zustandslos, es gibt also keine Sitzung, die ablaufen könnte; Clients erneuern Tokens im Hintergrund.

Verbindungen mit API-Schlüssel

Ein API-Schlüssel wirkt im Workspace, in dem er erstellt wurde. Er hat kein Argument workspace, keinen Zugriff auf die Workspace-Tools, die OAuth erfordern (list-workspaces, switch-workspace, create-workspace), und keine Rollenbeschränkungen, weil der Schlüssel selbst die Berechtigung trägt. Erstellen Sie für Agenten, die nur senden, einen reinen Sende-Schlüssel.

Zugriff prüfen und widerrufen

Account›Connected apps listet alle Apps auf, die Sie freigegeben haben, mit den Workspaces, die sie nutzen können, ihrer Zugriffsstufe und dem Zeitpunkt der Verbindung. Revoke access setzt ihre Tokens sofort außer Kraft; für eine neue Verbindung muss die App erneut um Erlaubnis bitten. Siehe Verbundene Apps, oder verwalten Sie Freigaben per Code mit der Freigaben-API.