Права доступа пользователя АПИ

[mailarn]

Какие должны быть права доступа пользователя АПИ к сущностям?
Мне кажется, что они должны настраиваться для каждой сущности отдельно как обычный пользователь. Но к сожалению это не работает.
АПИ работает если у АПИ пользователя группа доступа Администратор. С точки зрения безопасности это большая уязвимость!
Это баг или так и должно быть?

[support]

Если через API вы добавляете запись, то у пользователя должны стоять права на добавление.