---
# Habilitations reconnues par ce service. Voir docs/autorisation.md.
acces:
  - groupe: sysadmin
    accorde: admin
    # /!\ AUCUN mecanisme ne porte cette habilitation aujourd'hui : le role ne
    # configure ni claim de groupe, ni mapping d'equipe. Toute personne qui
    # s'authentifie obtient le niveau par defaut, et le compte administrateur
    # reste le compte local de secours (voute).
    # Forgejo sait lire un claim OIDC de groupes (`GROUP_CLAIM_NAME` +
    # `ADMIN_GROUP`) : c'est le cablage manquant. Constate le 2026-08-07.
    porte_par: aucun
    raison: >-
      Administration de la forge : utilisateurs, organisations, reglages.
  - groupe: dev
    accorde: utilisateur
    porte_par: defaut          # tout utilisateur authentifie
    raison: >-
      Creation de depots et contribution. C'est le niveau par defaut.