Clé API : un mot de passe qui coûte de l'argent
Une clé API est un code secret qui identifie votre compte quand un programme appelle un service, par exemple le modèle d'OpenAI ou d'Anthropic. Quiconque la possède peut utiliser le service à votre nom et à vos frais : elle se garde comme un mot de passe bancaire, sans jamais la partager ni la publier.
Données au 22 octobre 2026
L'essentiel en chiffres
| Niveau | Intermédiaire |
|---|
Une définition simple
Quand un programme appelle une API, le fournisseur doit savoir qui fait la demande, pour appliquer les bonnes limites et envoyer la facture au bon compte. La clé API sert à cela : c’est une longue chaîne de caractères, créée dans la console développeur du fournisseur, que le programme joint à chaque requête. Chez Anthropic, par exemple, elle est envoyée dans l’en-tête Authorization de la requête.
La documentation d’OpenAI est explicite : votre clé API est un secret ; ne la partagez pas et ne l’exposez pas dans du code côté client, comme un navigateur ou une application.
Un exemple concret
Une développeuse prépare un petit assistant pour son équipe et colle sa clé directement dans le code, « juste pour tester ». Elle publie ensuite le projet sur un dépôt public. N’importe qui peut alors lire la clé, la copier et l’utiliser : la consommation s’envole à son nom. OpenAI cite d’ailleurs la clé écrite dans le code source comme une cause courante de compromission. La bonne pratique : stocker la clé dans une variable d’environnement (par exemple OPENAI_API_KEY ou ANTHROPIC_API_KEY, que les kits de développement officiels lisent automatiquement) et ne jamais l’écrire dans un fichier publié.
Les bonnes pratiques de sécurité
- Ne jamais la partager ni la publier : pas dans un courriel, une capture d’écran, un forum, un dépôt de code ou une page web.
- La garder côté serveur. Une clé placée dans une application mobile ou un site peut être extraite par n’importe quel visiteur.
- Utiliser des variables d’environnement ou un gestionnaire de secrets, comme le recommandent OpenAI et Anthropic.
- Une clé par personne ou par usage, pour pouvoir en révoquer une sans tout casser.
- Fixer une date d’expiration et faire tourner les clés régulièrement ; Anthropic propose de choisir une expiration à la création.
- Plafonner les dépenses dans la console et surveiller la consommation : c’est votre filet de sécurité face aux limites de débit et aux abus.
- Révoquer immédiatement toute clé que vous soupçonnez d’avoir fuité.
Ces règles valent encore plus pour un agent autonome : une clé à large accès confiée à un agent mal surveillé, ou exposée à une injection de prompt, peut entraîner des dépenses ou des actions non voulues. Notre outil Puis-je confier ça à un agent ? aide à évaluer ces risques.
Idées reçues fréquentes
- « Mon dépôt est privé, donc la clé ne risque rien. » Un dépôt privé peut devenir public, être partagé ou cloné ; la clé n’a rien à y faire.
- « Je supprimerai la clé plus tard. » Une clé publiée peut être copiée très vite, et l’historique d’un dépôt garde sa trace même après suppression : révoquez-la tout de suite.
Termes voisins : API, limite de débit, prix par million de tokens, injection de prompt, bac à sable.
Termes liés
- API · Interface qui permet à un programme d'envoyer des demandes à un service, par exemple un modèle d'IA, et d'en recevoir les réponses.
- Limite de débit (rate limit) · Plafond fixé par un fournisseur d'IA sur le nombre de requêtes ou de tokens autorisés dans un laps de temps, souvent par minute.
- Prix par million de tokens · Unité de facturation des API d'IA : un tarif pour chaque million de tokens lus en entrée, un autre, souvent plus élevé, pour ceux générés.
- Injection de prompt · Attaque qui glisse des instructions cachées dans un texte lu par une IA pour lui faire ignorer ses consignes ou agir contre l'utilisateur.
- Bac à sable (sandboxing) · Isolement d'un agent IA dans un environnement fermé où ses fichiers, son réseau et ses commandes sont limités, pour contenir les dégâts possibles.
À essayer
Tout le glossaire
Questions fréquentes
Que faire si ma clé API a fuité ?
Désactivez-la ou supprimez-la immédiatement depuis la console du fournisseur, puis créez-en une nouvelle et remplacez-la dans vos outils. Vérifiez ensuite l'historique de consommation et la facturation. Chez OpenAI, la documentation indique qu'une révocation prend effet en quelques secondes.
Puis-je donner ma clé à une extension ou à un site qui la demande ?
Seulement si vous faites confiance à l'éditeur et comprenez ce qu'il en fera. Une clé confiée à un service tiers peut être utilisée sans limite à vos frais. Préférez une clé dédiée, avec un plafond de dépenses, que vous pourrez révoquer sans toucher au reste.
Une clé API, est-ce la même chose que mon mot de passe ChatGPT ou Claude ?
Non. Le mot de passe ouvre l'application grand public ; la clé API donne accès à la plateforme développeur, facturée séparément à l'usage. Les deux sont confidentiels, mais la clé est faite pour être utilisée par des programmes.
Peut-on partager une clé dans une équipe ?
Les fournisseurs le déconseillent. OpenAI recommande une clé unique par membre de l'équipe ; Anthropic recommande des clés personnelles pour son propre usage et des clés de compte de service pour les usages partagés ou automatisés.
Sources des données
Données au 22 octobre 2026
Signaler une erreur
Un chiffre, une date ou une information vous semble faux ? Dites-le-nous : chaque signalement est vérifié.