Glossaire · Sécurité et risques
Clé API
Une clé API est un identifiant transmis par un programme pour accéder à certains services en ligne. Selon le service, elle sert à reconnaître un projet, appliquer des limites d’usage ou autoriser des opérations, par exemple lorsque votre outil envoie une demande à un modèle IA.
Clé API : l'explication
Vous obtenez généralement une clé API dans l’espace de gestion d’un service, puis vous l’ajoutez à la configuration de votre application. Celle-ci la présente lors de ses requêtes. Le service peut alors rattacher l’activité à un compte ou à un projet et appliquer les règles correspondantes. La clé n’est pas nécessairement liée à une personne précise. Son rôle exact dépend du fournisseur, notamment pour les permissions, les restrictions et le suivi de la consommation.
Les clés API permettent à des logiciels de communiquer sans vous demander une connexion interactive à chaque opération. Dans un agent IA, elles peuvent ouvrir l’accès à un modèle, à une recherche documentaire ou à un service de traduction. Certaines clés servent surtout à identifier un projet ; d’autres constituent un véritable secret donnant accès à des fonctions payantes ou sensibles. Il faut donc lire la documentation du service plutôt que supposer que toutes les clés fonctionnent pareil.
Une clé secrète doit rester dans un emplacement prévu pour les identifiants sensibles, et non dans une conversation ou un document partagé. Lorsque le service le permet, vous pouvez limiter ses usages, séparer les projets et remplacer une clé compromise. Une clé intégrée à une page publique ou à une application distribuée peut être récupérable. La documentation distingue notamment identification du projet et authentification de l’utilisateur : https://cloud.google.com/docs/authentication/api-keys. Cette distinction évite de surestimer la protection offerte.
Un exemple concret
Vous configurez un outil qui classe vos courriels à l’aide d’un modèle distant. L’outil vous demande une clé du service de modèles. Vous créez une clé dédiée à cet usage, appliquez les restrictions disponibles et la placez dans le champ sécurisé prévu. Si vous cessez d’utiliser l’outil, vous révoquez cette clé. Vous pouvez ainsi couper cet accès sans modifier toutes vos autres intégrations avec le même service.
Pourquoi c'est important
Une clé API peut engager votre budget et permettre l’accès à des ressources associées à votre projet. Avant de la confier à un outil, vérifiez où elle sera stockée, qui pourra l’utiliser et comment la révoquer. Examinez aussi les limites de consommation disponibles. Une clé séparée par intégration facilite le suivi et la coupure d’accès, mais ne remplace pas la vérification des données transmises.
Idées reçues
- Une clé API n’est pas toujours l’équivalent du mot de passe de votre compte : son rôle dépend du service, et elle peut identifier un projet sans authentifier personnellement l’utilisateur qui se trouve derrière chaque demande.
- Masquer une clé à l’écran ne suffit pas à la protéger : elle peut encore apparaître dans des journaux, du code partagé ou des échanges réseau mal conçus, selon la manière dont votre outil la manipule.
Autres termes : sécurité et risques
- garde-fous
- Les garde-fous sont des mesures destinées à encadrer le comportement d’un système d’IA et les actions qu’il peut effectuer.
- bac à sable
- Un bac à sable est un environnement d’exécution qui limite ce qu’un programme peut atteindre ou modifier en dehors de son périmètre.
- moindre privilège
- Le moindre privilège est un principe de sécurité qui consiste à donner uniquement les accès nécessaires à une tâche.
- injection de prompt
- Une injection de prompt est une tentative de détourner un système d’IA au moyen d’instructions introduites dans le contenu qu’il traite.
- OAuth
- OAuth est un cadre d’autorisation qui permet à une application d’obtenir un accès limité à un service.
Où le site en parle
Le terme apparaît dans 49 pages du site. Quelques-unes :
- Codex CLI, guide de référence : installation, modes d'approbation et bac à sable, AGENTS.md, coûts Guide
- Premiers pas avec l'API d'un LLM : clé, premier appel, paramètres, coûts, bonnes pratiques Guide
- n8n et l’IA, guide de référence : nœuds, agents, mémoire, hébergement et coûts Guide
- Sécuriser un agent IA : permissions, secrets, bac à sable, validation humaine, journalisation Guide
- Choisir un serveur MCP : critères de confiance, entretien, permissions, serveurs locaux ou distants Guide
- CrewAI, guide de référence : équipes d'agents, tâches, outils, flows, déploiement Guide
- Héberger un agent IA sur un VPS : choix du serveur, installation, sécurité, sauvegardes, coûts Guide
- Automatiser avec l'IA dans Make et Zapier : fonctions IA, agents, limites et prix Guide
Pour aller plus loin
Questions fréquentes
Puis-je la partager avec un assistant ?
Évitez de la coller dans une conversation ordinaire. Utilisez le mécanisme de gestion des secrets prévu par l’application, après avoir vérifié ses conditions d’accès et de stockage. Un assistant peut parfois fonctionner sans recevoir directement votre clé.
Que faire après une fuite ?
Révoquez la clé concernée, puis remplacez-la dans les intégrations autorisées. Vérifiez l’activité et les dépenses associées si ces informations sont disponibles. Supprimer le message ou le fichier exposé ne rend pas la clé à nouveau confidentielle.
Une clé donne-t-elle tous les droits ?
Cela dépend du service et de sa configuration. Certaines clés peuvent être limitées à des fonctions, des projets ou des environnements précis. Vérifiez les restrictions réellement disponibles plutôt que supposer qu’une clé possède des permissions étroites par défaut.
Neutralité. Aucun lien d'affiliation. Aucun éditeur ne paie pour être évalué, noté ou classé. Les évaluations sont dirigées par François Chollet, neutres et factuelles, et chaque donnée est datée et sourcée. Comment nous notons