Aller au contenu

Catégorie M · Les coulisses · Épreuve 3 sur 8 · 5 min

API et clé d'API : à quoi ça sert

Mis à jour le

Un homme en pull bleu tape sur son ordinateur portable à une table de café, une tasse et un croissant à côté.
Objectif · Comprendre ce qu'est une API, ranger une clé au bon endroit, réagir vite si elle fuit et poser un plafond qui bloque vraiment.Photo : Vitaly Gariev sur Unsplash

Une API est une porte d'entrée prévue pour les programmes : ton site envoie une demande écrite selon des règles précises et reçoit une réponse. La clé d'API est le code qui dit « facture-moi » : celui qui l'a peut dépenser ton argent. Elle reste secrète, sur ton serveur, avec un plafond de dépense qui bloque.

  1. 01
  2. 02
  3. 03
  4. 04
  5. 05
  6. 06
  7. 07
  8. 08
  9. 09
  10. 10

Étape 1 sur 10

Le guichet des programmes

Quand tu discutes avec une IA sur son site, tu es dans la salle du restaurant. Une API (interface de programmation), c'est le guichet prévu pour les programmes : on passe commande selon un menu précis, on ne rentre pas en cuisine, et la réponse revient dans un format qu'une machine sait lire. Le site de référence MDN, de Mozilla, la décrit comme un ensemble de règles qui permet à un logiciel de parler à un autre, une sorte de contrat.

Exemple : Karim, plombier, ajoute à son site un petit assistant qui répond aux questions sur ses tarifs. Chaque question d'un visiteur part de son site vers l'API d'un éditeur, et la réponse revient s'afficher.

Pour que l'éditeur sache qui paie, chaque requête porte une clé d'API : un long code personnel qui dit « c'est moi, facture-moi ». En général, l'API se paie à part, à l'usage, même si tu as déjà un abonnement à l'assistant.

Relie chaque mot à son image du quotidien.

Touche un élément à gauche, puis celui qui va avec à droite.

Où ranger la clé, et où jamais

OpenAI publie des règles de sécurité qui valent chez tous les éditeurs :

  • Une clé par personne. Partager sa clé est contraire à ses conditions.
  • Jamais dans le code d'une page web, ni dans un programme installé sur le téléphone de tes clients : n'importe qui peut l'y retrouver et l'utiliser à tes frais. La page appelle ton serveur, et c'est ton serveur qui appelle l'IA.
  • Jamais dans un fichier envoyé sur GitHub ou sur un autre dépôt de code.
  • Dans une variable d'environnement : un réglage caché de ton serveur ou de ton hébergeur, que le code lit sans l'afficher.

Mistral ajoute deux réflexes. La clé complète ne s'affiche qu'une seule fois : range-la tout de suite dans un gestionnaire de mots de passe. Et donne-lui une date d'expiration, puis renouvelle-la régulièrement.

Chloé crée un site de recettes qui demande des idées de menus à une IA. Où met-elle sa clé d'API ?

Elle a fui : les bons gestes, dans l'ordre

Une clé qui a été visible quelque part est perdue, même si tu l'as effacée depuis. GitHub le rappelle pour ses dépôts : la première chose à faire est de révoquer ou de remplacer le secret, car l'historique du dépôt garde les anciennes versions.

  1. Révoque la clé dans la console de l'éditeur : elle cesse de fonctionner.
  2. Crée une clé neuve et mets-la dans la variable d'environnement de ton serveur.
  3. Regarde la page de consommation pour repérer les dépenses qui ne viennent pas de toi, et écris au support de l'éditeur si c'est le cas.
  4. Cherche par où elle est sortie (page web, fichier partagé, capture d'écran) pour que ça ne recommence pas.

Bonne nouvelle : GitHub transmet à Anthropic les clés Claude trouvées dans les dépôts publics, et Anthropic les révoque. Depuis le 13 octobre 2026, GitHub bloque même par défaut l'envoi de ces clés dans les dépôts protégés par son analyse des secrets.

Ta clé vient d'apparaître dans un dépôt public. Remets les gestes dans l'ordre.

Touche les étiquettes dans le bon ordre. Touche une étiquette placée pour la retirer.

Une alerte n'est pas un plafond

Les éditeurs proposent deux outils qui se ressemblent mais ne font pas du tout la même chose :

  • L'alerte t'envoie un message quand tu dépasses un montant. Les requêtes continuent.
  • Le plafond qui bloque refuse les requêtes une fois le montant atteint.

Chez OpenAI, une limite de dépense reste une simple alerte tant que tu n'actives pas « Enforce a hard limit ». Même alors, OpenAI prévient que le blocage n'est pas instantané et que la dépense peut dépasser un peu le montant. Chez Google, l'API Gemini propose un plafond mensuel par projet, encore expérimental, avec environ 10 minutes de retard. Chez Anthropic, chaque palier a un plafond mensuel, et tu peux fixer le tien plus bas.

Le garde-fou le plus simple reste le prépayé : tu achètes des crédits, et quand ils sont épuisés, tout s'arrête. Google le propose pour Gemini, à partir de 5 $.

Vrai ou faux ?

Chez OpenAI, une limite de dépense bloque les requêtes même si tu n'as rien activé d'autre.

Pour être sûr de ne jamais dépenser plus que prévu, le plus simple est de payer en …… : quand les crédits sont épuisés, tout s'arrête.

Ce que l'IA ne te dira pas

En avril 2026, sur Hacker News, une équipe raconte qu'une clé Firebase visible dans le navigateur a servi à appeler Gemini. Son alerte de budget à 80 € et son alerte d'anomalie sont arrivées avec quelques heures de retard : la facture atteignait déjà environ 28 000 €, et elle a fini au-delà de 54 000 €, en 13 heures. Une alerte prévient, elle n'arrête rien.

Source : Hacker News, « €54k spike in 13h from unrestricted Firebase browser key accessing Gemini APIs » (avril 2026)

Sources