FGP — Fine-Grained Proxy

Nom de la configuration

Preset

Pré-remplit le formulaire. Le bouton « Charger les apps » est disponible avec le mode d'auth Scalingo exchange.

Importer une config existante

URL FGP ou blob

Clé client (X-FGP-Key)

URL cible de l'API

Mode d'authentification

Token / Clé API

Le token est envoyé au serveur FGP via HTTPS pour le chiffrement. Il n'est jamais stocké.

Scopes (patterns METHOD:PATH)

Un pattern par ligne. Wildcard * pour tout matcher. Les scopes POST/PUT/PATCH permettent d'ajouter des filtres sur le contenu de la requête.

Durée de validité

Tester un scope

Méthode

Chemin de test

Guide d'utilisation

Choisissez un preset ou configurez manuellement les champs.
Renseignez le token API de votre service cible.
Définissez les scopes (permissions par route et méthode HTTP).
Configurez la durée de validité (TTL) de l'URL.
Générez l'URL et la clé client.

Utilisation de l'URL

curl -H "X-FGP-Key: <clé>" \
  <url>/v1/apps

Le header X-FGP-Key est requis à chaque requête. L'URL seule est inexploitable sans cette clé.

Mode header (recommandé)

curl -H "X-FGP-Key: <clé>" \
  -H "X-FGP-Blob: <blob>" \
  <origin>/v1/apps

Passez le blob via le header X-FGP-Blob plutôt que dans l'URL. Méthode préférée pour éviter les problèmes de limite de 255 caractères par segment d'URL imposée par certains services.

Partage & import

URL de partage

L'URL dans la barre d'adresse se met à jour automatiquement avec un paramètre ?c= qui encode la configuration (sans le token). Copiez-la pour partager un template de config — le destinataire n'aura qu'à fournir son propre token.

Importer une URL FGP

Le bouton Importer dans les presets permet de décoder une URL FGP existante (ou un blob brut) avec sa clé client. La configuration est récupérée avec le token masqué — fournissez le token manuellement pour générer ou tester.

Infos sur les champs

URL cible: L'URL de base de l'API que vous souhaitez proxifier.
Mode d'auth: Comment le proxy s'authentifie auprès de l'API cible.; bearer — token envoyé dans Authorization: Bearer
basic — Basic Auth
scalingo-exchange — échange token Scalingo (tk-us-... → bearer)
header:X-Name — header custom
Scopes: Patterns au format METHOD:PATH. Le wildcard * matche tout.; GET:/v1/apps/* POST:/v1/apps/my-app/scale
Body filters: Pour les scopes POST/PUT/PATCH, filtrez le contenu du body de la requête (champs autorisés, valeurs contraintes).
Durée de validité (TTL): Durée pendant laquelle l'URL générée est utilisable. Passé ce délai, le proxy refuse les requêtes.

Exemples & références

Scopes — Exemples

Cas courants

Lecture seule sur toutes les apps

GET:/v1/apps/*

Autorise : GET /v1/apps/my-app, GET /v1/apps/my-app/containers
Bloque : POST /v1/apps/my-app/scale, DELETE /v1/apps/my-app

Lecture + scale sur une app précise

GET:/v1/apps/my-app/*
POST:/v1/apps/my-app/scale

Autorise : GET /v1/apps/my-app/containers, POST /v1/apps/my-app/scale
Bloque : GET /v1/apps/other-app/containers, DELETE /v1/apps/my-app

Full access

*:*

Autorise tout. Réserver au debug ou tokens très courts (TTL 1h).

Multi-méthodes avec pipe

GET|POST:/v1/apps/*

Autorise : GET /v1/apps/my-app, POST /v1/apps/my-app/deployments
Bloque : DELETE /v1/apps/my-app, PATCH /v1/apps/my-app

Edge cases

Wildcard mid-path

GET:/v1/apps/*/containers

Matche tous les containers de toutes les apps, mais uniquement la route /containers exacte.

Exact match (pas de wildcard)

GET:/v1/apps/my-app

Matche uniquement cette route exacte, pas les sous-routes.

Trailing wildcard

GET:/v1/apps/*

Matche tout ce qui commence par /v1/apps/ suivi d'au moins un caractère. Bloque GET /v1/apps (pas de segment après).

Body filters — Exemples

Les body filters s'appliquent aux scopes POST, PUT, PATCH. Ils contraignent le contenu JSON du body.

Cas courants

Déploiement scopé par branche

Scope : POST:/v1/apps/my-app/deployments

Filtre : deployment.git_ref = master | main

Autorise : body avec git_ref: "main"
Bloque : body avec git_ref: "develop"

Source restreinte (wildcard string)

Filtre : deployment.source_url = https://github.com/my-org/*

Autorise : URL commençant par https://github.com/my-org/
Bloque : https://github.com/hacker/malicious/...

Vérifier qu'un champ existe

Filtre : deployment.git_ref = wildcard (type "exists")

Autorise tout body contenant le champ, quelle que soit la valeur.

Edge cases

Type exact (boolean)

Filtre : container.enabled = true (type boolean)

Match strict sur le type JSON. La string "true" ne matche pas le boolean true.

Exclusion (NOT)

Filtre : deployment.git_ref != develop

Autorise : "main", "release/v2"
Bloque : "develop"

Combinaison AND

Filtre : deployment.git_ref = AND(release/*, NOT release/broken)

Toutes les conditions doivent être vraies simultanément.

Regex dans body filter

Filtre : deployment.git_ref = regex ^v\d+\.\d+\.\d+$

Matche les tags semver (v1.2.3). Limité à 200 caractères, string uniquement.

Auth modes — Quand utiliser quoi

bearer

Envoie Authorization: Bearer <token>. La majorité des APIs REST modernes (GitHub, Stripe, etc.).

basic

Envoie Authorization: Basic <base64>. APIs legacy, services internes, registries Docker.

scalingo-exchange

Échange le token API Scalingo (tk-us-...) contre un bearer temporaire (1h), caché en mémoire chiffré, renouvelé automatiquement. Exclusivement pour l'API Scalingo.

header:X-API-Key

Envoie le token dans un header custom. APIs qui n'utilisent pas Authorization (Algolia, SendGrid, etc.).

Regex — Mini-guide

Patterns courants

^release/.*matche release/v1, release/hotfix

v\d+matche v1, v12, release-v3

^(main|master)$matche main ou master exactement

^v\d+\.\d+\.\d+$matche semver (v1.2.3)

.*-prod$matche api-prod, web-prod

Pièges fréquents

Match partiel par défaut

Le pattern release matche aussi my-release-branch. Pour un match exact : ^release$.

Pipe dans les regex

Dans un regex, main|master = "main OU master". Dans le champ scopes, le pipe sépare les méthodes HTTP — deux contextes différents.

Limites

Max 200 caractères par pattern. Testé uniquement sur des valeurs string JSON (pas numérique ni boolean).

Configs prêtes à l'emploi

Cliquez sur un exemple pour pré-remplir le formulaire. Ajoutez votre token pour générer l'URL.

Scalingo — lecture seule
GET:/v1/apps/* — scalingo-exchange, 1h
Scalingo — deploy PR
GET:/v1/apps/my-app-pr*/deployments + GET|POST:/v1/apps/my-app-pr*/deployments/* — 24h
API générique — lecture seule
GET:* — bearer, 1h

Références

Swagger UI — documentation interactive de l'API
OpenAPI JSON — spécification OpenAPI 3.0
GitHub — code source, issues, ADR

22 avril 2026

Nouvelle page /logs pour consulter en direct les requêtes d'un blob (flux live + court historique in-memory)
Logs opt-in par blob depuis l'onglet « Logs » de la configuration, deux niveaux : requêtes (méthode, chemin, status, durée, IP tronquée) ou bodies détaillés
Bodies détaillés chiffrés avec votre clé client avant stockage : le serveur FGP ne peut pas les lire
Zero storage strict : aucun log n'est persisté, purge automatique après 10 minutes d'inactivité
Feature désactivable globalement par l'admin de l'instance (variable FGP_LOGS_ENABLED)
Proxy transparent : les réponses de l'API cible sont forwardées telles quelles (status, body, headers)
Nouveau header X-FGP-Source: proxy|upstream pour distinguer une erreur FGP d'une erreur de l'API cible
Breaking : les codes upstream_error, upstream_auth_failed et le body rate_limited disparaissent. Les clients qui matchaient dessus doivent migrer sur X-FGP-Source + status/body natifs de l'API cible
Nouveau code upstream_unreachable (502, fetch réseau échoué uniquement)
Handler global internal_error (500) pour les exceptions non catchées
Documentation OpenAPI durcie : les codes d'erreur sont typés par route (union z.enum), visible dans Swagger UI — utile pour les clients qui génèrent des SDKs

16 avril 2026

Blob en header X-FGP-Blob (dual mode URL/header)
Section « Tester un scope » avec highlight temps réel
Test end-to-end via POST /api/test-proxy
Partage de config via ?c= (sans token)
Import d'URL FGP existante avec token redacté
API encode/decode pour URLs publiques
Champ « Nom de la configuration »
Body filters dans l'URL de partage ?c=
Presets réorganisés en accordéons
Fix pipe methods dans le scope matching
Onglets Doc / Exemples / Changelog

9 avril 2026

Body filters v3 : exact, wildcard, glob, regex, not, and
Scopes structurés (ScopeEntry) avec filtrage JSON body
Tailwind CSS build-time (plus de CDN)
Type regex dans les body filters
Preset Scalingo enrichi (permissions par app, branches)
Logo, SEO, palette fgp-*, dark mode media
Extraction JS → modules TypeScript (esbuild)
Migration Zod 4

8 avril 2026

Première version : proxy stateless + double clé
Chiffrement AES-256-GCM + PBKDF2 (Web Crypto)
4 modes d'auth : bearer, basic, scalingo-exchange, header custom
Scopes METHOD:PATH avec wildcard
UI de configuration (Hono JSX)
OpenAPI 3.0 + Swagger UI

Logs

Activez la capture in-memory des requêtes passant par ce blob. Les logs sont visibles uniquement via /logs et ne sont jamais persistés.

Activer les logs pour ce blob

Chaque requête est journalisée en mémoire (méthode, chemin, status, durée, IP tronquée) pendant quelques minutes.

Capturer aussi les bodies détaillés (POST/PUT/PATCH JSON)

Le body request est compressé puis chiffré avec votre clé client avant d'être stocké. Le serveur ne peut pas le lire. Multipart exclu.

Ouvrir la console /logs

URL générée