Délégation au niveau du domaine Google Workspace et IA

La délégation au niveau du domaine permet à un administrateur Google Workspace d'autoriser une application à accéder aux données de tous les utilisateurs de l'organisation, sans demander le consentement de chacun. Concrètement, un compte de service peut alors agir au nom de n'importe quel utilisateur, par exemple pour qu'une IA lise les boîtes Gmail ou les fichiers Drive de toute l'équipe. C'est le pouvoir le plus large que l'on puisse donner à une intégration Google : il se donne avec des scopes étroits, se revoit régulièrement, et se retire dès qu'il ne sert plus.

La page d'aide de Google s'intitule « Contrôler l'accès à l'API à l'aide de la délégation au niveau du domaine ». Voici son contenu utile, lu le 15/11/2026.

Quand en a-t-on besoin ?

Certains scopes n'existent qu'avec cette délégation : Google précise que les opérations de gmail.settings.sharing sont réservées à l'administration et accessibles seulement aux clients Google Workspace qui utilisent un compte de service avec délégation au niveau du domaine.

Pour l'accès individuel, côté utilisateur, voir NL-Q Drive.

La procédure

Il faut être connecté en super-administrateur.

1. Dans la console d'administration : « Sécurité » > « Contrôle des accès et des données » > « Commandes des API » > « Gérer la délégation au niveau du domaine ».
2. Ajouter une nouvelle autorisation (bouton « Add new » dans la version anglaise de l'aide).
3. Saisir l'ID client du compte de service ou du client OAuth 2.0.
4. Dans le champ des scopes OAuth, ajouter chaque scope dont l'application a besoin, en restant aussi étroit que possible.
5. Valider l'autorisation (« Authorize »). En cas d'échec, Google cite deux causes : l'ID client n'est pas enregistré chez Google, ou des scopes sont en double ou non pris en charge.
6. Vérifier dans le détail que chaque scope apparaît bien.

Les changements peuvent prendre jusqu'à 24 heures, mais s'appliquent en général plus vite. Si l'approbation à plusieurs est activée dans votre organisation, un autre super-administrateur doit approuver.

Les précautions données par Google

• Portée totale. Google l'écrit : l'application a accès aux données de tous vos utilisateurs. D'où la consigne de scopes étroits.
• Revue des scopes. Vérifier régulièrement les scopes de l'application et retirer ceux qui ne sont pas nécessaires ou plus utilisés.
• Revue des comptes de service. Les passer en revue régulièrement et supprimer ceux qui ne servent plus.
• Effet d'une suppression. Les applications qui dépendent de l'autorisation cessent de fonctionner immédiatement : prévenez avant de retirer.

Choisir les scopes pour une IA

Partez de ce que fait l'IA, pas de ce qui est plus simple à configurer. Pour Gmail, par exemple :

Évitez https://mail.google.com/, l'accès complet, que Google réserve aux applications qui doivent supprimer définitivement des messages. Le détail des scopes Gmail est sur la page Gmail API : scopes restreints.

Une remarque sur la vérification : selon Google, l'installation à l'échelle du domaine par un administrateur dispense de la vérification de la marque, mais pas de la vérification de l'application si elle utilise des scopes sensibles ou restreints. Une application réglée en « Internal », utilisée seulement dans votre organisation, en est en revanche exemptée.

Les garde-fous à ajouter vous-même

La délégation ne limite pas les utilisateurs concernés : elle vaut pour toute l'organisation. Les limites doivent donc être dans votre code :

1. Une liste d'utilisateurs autorisés. Le compte de service n'emprunte l'identité que des comptes prévus (la boîte partagée, l'équipe pilote).
2. Un journal de chaque emprunt d'identité : quel compte, quel scope, quelle opération.
3. La clé du compte de service dans un coffre, jamais dans le code ni sur un poste.
4. Une date de revue inscrite au calendrier, pour appliquer la consigne de revue de Google.

Chez Microsoft, l'équivalent est une permission d'application, que l'on peut restreindre à certaines boîtes par RBAC dans Exchange Online : voir Microsoft Graph et les mails Outlook.