FGP — Fine-Grained Proxy

Charger un preset

Pré-remplit le formulaire. Le bouton « Charger les apps » est disponible avec le mode d'auth Scalingo exchange.

URL cible de l'API

Mode d'authentification

Token / Clé API

Le token est envoyé au serveur FGP via HTTPS pour le chiffrement. Il n'est jamais stocké.

Scopes (patterns METHOD:PATH)

Un pattern par ligne. Wildcard * pour tout matcher. Les scopes POST/PUT/PATCH permettent d'ajouter des filtres sur le contenu de la requête.

Durée de validité

Guide d'utilisation

Choisissez un preset ou configurez manuellement les champs.
Renseignez le token API de votre service cible.
Définissez les scopes (permissions par route et méthode HTTP).
Configurez la durée de validité (TTL) de l'URL.
Générez l'URL et la clé client.

Utilisation de l'URL

curl -H "X-FGP-Key: <clé>" \
  <url>/v1/apps

Le header X-FGP-Key est requis à chaque requête. L'URL seule est inexploitable sans cette clé.

Infos sur les champs

URL cible: L'URL de base de l'API que vous souhaitez proxifier.
Mode d'auth: Comment le proxy s'authentifie auprès de l'API cible.; bearer — token envoyé dans Authorization: Bearer
basic — Basic Auth
scalingo-exchange — échange token Scalingo (tk-us-... → bearer)
header:X-Name — header custom
Scopes: Patterns au format METHOD:PATH. Le wildcard * matche tout.; GET:/v1/apps/* POST:/v1/apps/my-app/scale
Body filters: Pour les scopes POST/PUT/PATCH, filtrez le contenu du body de la requête (champs autorisés, valeurs contraintes).
Durée de validité (TTL): Durée pendant laquelle l'URL générée est utilisable. Passé ce délai, le proxy refuse les requêtes.

Exemples & références

Scopes — Exemples

Cas courants

Lecture seule sur toutes les apps

GET:/v1/apps/*

Autorise : GET /v1/apps/my-app, GET /v1/apps/my-app/containers
Bloque : POST /v1/apps/my-app/scale, DELETE /v1/apps/my-app

Lecture + scale sur une app précise

GET:/v1/apps/my-app/*
POST:/v1/apps/my-app/scale

Autorise : GET /v1/apps/my-app/containers, POST /v1/apps/my-app/scale
Bloque : GET /v1/apps/other-app/containers, DELETE /v1/apps/my-app

Full access

*:*

Autorise tout. Réserver au debug ou tokens très courts (TTL 1h).

Multi-méthodes avec pipe

GET|POST:/v1/apps/*

Autorise : GET /v1/apps/my-app, POST /v1/apps/my-app/deployments
Bloque : DELETE /v1/apps/my-app, PATCH /v1/apps/my-app

Edge cases

Wildcard mid-path

GET:/v1/apps/*/containers

Matche tous les containers de toutes les apps, mais uniquement la route /containers exacte.

Exact match (pas de wildcard)

GET:/v1/apps/my-app

Matche uniquement cette route exacte, pas les sous-routes.

Trailing wildcard

GET:/v1/apps/*

Matche tout ce qui commence par /v1/apps/ suivi d'au moins un caractère. Bloque GET /v1/apps (pas de segment après).

Body filters — Exemples

Les body filters s'appliquent aux scopes POST, PUT, PATCH. Ils contraignent le contenu JSON du body.

Cas courants

Déploiement scopé par branche

Scope : POST:/v1/apps/my-app/deployments

Filtre : deployment.git_ref = master | main

Autorise : body avec git_ref: "main"
Bloque : body avec git_ref: "develop"

Source restreinte (wildcard string)

Filtre : deployment.source_url = https://github.com/my-org/*

Autorise : URL commençant par https://github.com/my-org/
Bloque : https://github.com/hacker/malicious/...

Vérifier qu'un champ existe

Filtre : deployment.git_ref = wildcard (type "exists")

Autorise tout body contenant le champ, quelle que soit la valeur.

Edge cases

Type exact (boolean)

Filtre : container.enabled = true (type boolean)

Match strict sur le type JSON. La string "true" ne matche pas le boolean true.

Exclusion (NOT)

Filtre : deployment.git_ref != develop

Autorise : "main", "release/v2"
Bloque : "develop"

Combinaison AND

Filtre : deployment.git_ref = AND(release/*, NOT release/broken)

Toutes les conditions doivent être vraies simultanément.

Regex dans body filter

Filtre : deployment.git_ref = regex ^v\d+\.\d+\.\d+$

Matche les tags semver (v1.2.3). Limité à 200 caractères, string uniquement.

Auth modes — Quand utiliser quoi

bearer

Envoie Authorization: Bearer <token>. La majorité des APIs REST modernes (GitHub, Stripe, etc.).

basic

Envoie Authorization: Basic <base64>. APIs legacy, services internes, registries Docker.

scalingo-exchange

Échange le token API Scalingo (tk-us-...) contre un bearer temporaire (1h), caché en mémoire chiffré, renouvelé automatiquement. Exclusivement pour l'API Scalingo.

header:X-API-Key

Envoie le token dans un header custom. APIs qui n'utilisent pas Authorization (Algolia, SendGrid, etc.).

Regex — Mini-guide

Patterns courants

^release/.*matche release/v1, release/hotfix

v\d+matche v1, v12, release-v3

^(main|master)$matche main ou master exactement

^v\d+\.\d+\.\d+$matche semver (v1.2.3)

.*-prod$matche api-prod, web-prod

Pièges fréquents

Match partiel par défaut

Le pattern release matche aussi my-release-branch. Pour un match exact : ^release$.

Pipe dans les regex

Dans un regex, main|master = "main OU master". Dans le champ scopes, le pipe sépare les méthodes HTTP — deux contextes différents.

Limites

Max 200 caractères par pattern. Testé uniquement sur des valeurs string JSON (pas numérique ni boolean).

Documentation API

La spécification OpenAPI et le Swagger UI interactif sont disponibles sur /api/docs.

URL générée