C'est quoi une clé d'API ? Et comment la protéger
Mis à jour le
Une clé d'API est un long code secret qui prouve au fournisseur d'IA que la demande vient de ton compte, et donc que c'est toi qui paies. Quiconque la récupère peut lancer des demandes à tes frais : elle se garde comme un mot de passe.
Pense au badge de télépéage collé sur ton pare-brise. La barrière s'ouvre pour n'importe quelle voiture qui le porte, et la facture arrive chez toi. Si tu le prêtes, ou si quelqu'un le décolle, c'est toujours toi qui paies chaque passage. Une clé d'API marche pareil : l'éditeur ne vérifie pas qui tape, seulement quelle clé accompagne la demande.
Les règles officielles. OpenAI demande une clé par personne, jamais partagée. Elle ne doit jamais se trouver dans une page web ni dans une application mobile, où n'importe qui peut la lire, ni dans du code envoyé sur un dépôt comme GitHub. On la range dans une variable d'environnement, sur son propre serveur. Mistral ajoute deux réflexes : la clé complète ne s'affiche qu'une fois, donc on la note aussitôt dans un gestionnaire de mots de passe, et on lui donne une date d'expiration.
Pourquoi ça compte. Une clé publiée par erreur ne passe pas inaperçue longtemps. GitHub signale depuis 2024 à Anthropic les clés Claude qu'il repère, pour qu'elles soient révoquées, et depuis le 13 octobre 2026 il bloque par défaut leur envoi dans les dépôts où son analyse des secrets est active.
L'idée reçue. « J'ai supprimé le fichier, c'est réglé. » Non : l'historique d'un dépôt garde les anciennes versions, et la clé reste lisible. La seule bonne réaction est de révoquer la clé dans la console de l'éditeur, puis d'en créer une nouvelle. Et de poser un plafond de dépense avant d'en avoir besoin.
Un exemple
Lucas, étudiant en BTS à Toulouse, publie sur GitHub le code de son site de quiz. Sa clé est écrite en clair dans un fichier. Le lendemain, il voit des centaines de demandes qu'il n'a pas faites.
Ce qu'il fait, dans l'ordre :
- il révoque la clé dans la console de l'éditeur ;
- il en crée une neuve, rangée dans une variable d'environnement sur son serveur ;
- il vérifie que le code envoyé au navigateur ne contient plus aucune clé ;
- il fixe une limite de dépense mensuelle sur son compte.
As-tu compris ?
Où ranger la clé d'API qu'utilise ton site ?
Sources
- OpenAI, « Best Practices for API Key Safety » (centre d'aide) (consulté le 24 octobre 2026)
- Mistral AI, « Activate Studio and generate an API key » (documentation) (consulté le 24 octobre 2026)
- GitHub Changelog, « Secret scanning blocks Anthropic keys by default, adds Salesforce » (13 octobre 2026) (consulté le 24 octobre 2026)
- GitHub Changelog, « Anthropic is now a GitHub secret scanning partner » (20 août 2024) (consulté le 24 octobre 2026)
- GitHub, « Removing sensitive data from a repository » (documentation) (consulté le 24 octobre 2026)