Cada token age apenas nas entidades que você marcar. Um token do SIEM grava incidentes
de segurança e mais nada — se ele vazar, o estrago para aí. Não existe token que "pode tudo":
token sem nenhuma entidade marcada não faz nada, de propósito.
Prefira um token por sistema, com o menor escopo que resolva. Assim dá para revogar
o do scanner sem derrubar o do ERP.
Gravar e ler são escopos separados. O mesmo token pode fazer as duas coisas —
é o caso normal do ERP, que empurra pedido e puxa status —, mas nunca ganha uma pela outra.
A razão é que o estrago é diferente: um token de escrita vazado suja o cadastro e deixa
rastro no histórico de importação; um de leitura vazado copia a sua base sem deixar nada.
O nome aparece como origem no histórico de importações — use o nome do sistema.
Guarde no cofre de segredos do sistema que vai usá-lo. Não mande por e-mail nem por chat.