Ce qu'est une clé API, en quoi elle diffère d'un mot de passe ou d'un jeton OAuth, où la conserver, comment la restreindre et la renouveler, et quoi faire dès qu'elle fuite.
Une clé API est une longue chaîne secrète qu'un programme envoie avec chaque requête pour prouver quel compte appelle un service, comme un fournisseur de paiement, de cartes ou d'email. Traitez la plupart des clés comme un mot de passe : gardez-les sur un serveur, jamais dans le code du site, limitez ce qu'elles peuvent faire et remplacez-les si elles sont exposées.
Clé API, jeton OAuth et mot de passe comparés
Si vous gérez un site ou une boutique, vous croisez des clés API chaque fois que vous connectez un service : paiements, cartes, email, outil de formulaire ou agent IA. La plupart sont secrètes, quelques-unes sont faites pour être publiques, et les confondre est la cause des factures surprises et des fuites de données. Collez une clé dans l'inspecteur ci-dessous pour voir à quel type elle ressemble ; il fonctionne entièrement dans votre navigateur et n'envoie rien nulle part.
Ce sont deux secrets, mais un mot de passe sert à une personne qui se connecte, tandis qu'une clé API sert à un logiciel qui appelle un service. Les clés sont longues et aléatoires, généralement limitées à certaines actions, et peuvent être remplacées sans changer les identifiants de quiconque.
Seulement si le fournisseur indique que ce type de clé peut être exposé. Les clés publiables de Stripe qui commencent par pk_ sont prévues pour le code front-end ; ses clés secrètes et restreintes ne le sont pas. Tout ce qui se trouve dans le navigateur peut être lu par chaque visiteur.
Dans un coffre-fort de secrets ou dans les paramètres de variables d'environnement de votre hébergeur. Stripe et Google indiquent tous deux de ne pas mettre de clés dans le code source ni de les committer dans des dépôts de code.
Révoquez-la ou renouvelez-la immédiatement dans le tableau de bord du fournisseur, puis placez la nouvelle clé dans les paramètres de votre serveur. Pour les secrets détectés, GitHub recommande de renouveler immédiatement l'identifiant concerné ; nettoyer l'historique ne suffit pas à sécuriser une clé encore active.
Utilisez une clé API quand votre propre serveur communique avec un service sur votre propre compte. Utilisez OAuth quand votre application doit agir pour d'autres personnes sur leurs comptes, car chacune accorde alors elle-même l'accès et peut le révoquer.
La clé se trouve dans une variable d'environnement sur le serveur. Le navigateur appelle votre propre endpoint, qui ajoute la clé et appelle le fournisseur.
Valeurs d'exemple uniquement. Ajoutez .env à .gitignore pour qu'il n'atteigne jamais votre dépôt.
Une toute petite route serveur. Le secret est lu sur le serveur et n'est jamais envoyé au navigateur.
Collez une clé ou seulement ses premiers caractères. La vérification se fait uniquement dans votre navigateur ; préférez tout de même une clé de test ou une valeur factice à un secret de production.
Clé à inspecter
Clé publiable Stripe
Clé secrète Stripe
Clé restreinte Stripe
Jeton Notion
Secret de signature de webhook (préfixe whsec_)
Aucun préfixe connu. Considérez-la comme secrète sauf indication contraire du fournisseur.
Prévue pour le code front-end, selon le fournisseur.
Secrète : gardez-la sur un serveur, jamais dans une page web.
Clé en mode test ou sandbox.
Clé en mode production : argent réel ou données réelles.
Longueur : {n} caractères
Aléa approximatif si elle a été générée aléatoirement : {n} bits
Semble courte pour un secret. Environ {n} bits ou plus est un objectif raisonnable.
Collez quelque chose à inspecter.
Commencer gratuitement · Sans carte bancaire