Il faut que les plugins embarquent leurs droits dans un fichier du plugins:
ils déclarent les droits qu'ils utilisent.

Les profils permettent de donner un sens métier à tous ces droits qu'on
obitendra.

Du coup, les droits déclarés dans la config se limitent à ceux du workflow +
qqs autres.