Qu'est-ce qu'une clé d'API et comment la stocker en sécurité

Vous vous êtes inscrit à une API d'IA et la première chose qu'elle vous demande, c'est une clé. Ce guide explique ce qu'est une clé d'API, d'où elle vient, comment la garder en sécurité et quoi faire si elle se retrouve là où elle ne devrait pas.

Qu'est-ce qu'une clé d'API#

Une clé d'API est une longue chaîne de lettres et de chiffres qui indique au service qui envoie une requête. Voyez-la comme un mot de passe pour les programmes : votre script envoie la clé à chaque requête, et le service s'en sert pour retrouver votre compte et prélever le coût de la requête sur votre solde.

Deux conséquences en découlent :

• Quiconque possède la clé peut dépenser votre solde. Le service ne peut pas vous distinguer de quelqu'un qui a copié votre clé.
• La clé n'est ni le modèle ni le solde. Ce n'est que le laissez-passer. Le solde est une chose distincte que vous rechargez, et la même clé fonctionne avec tous les modèles auxquels votre compte a accès.

Le coût d'une requête est compté en tokens. Si les tokens sont nouveaux pour vous, commencez par Qu'est-ce qu'un token en IA ?.

Où obtenir une clé#

Chaque service d'IA émet des clés depuis son propre tableau de bord. Par exemple, l'API officielle de DeepSeek dispose d'une page de clés d'API à l'adresse platform.deepseek.com/api_keys, et sa documentation lit la clé depuis la variable d'environnement DEEPSEEK_API_KEY (vérifié le 21 octobre 2026). Le déroulement général est presque partout le même :

1. Créez un compte.
2. Ouvrez la page des clés d'API dans le tableau de bord.
3. Appuyez sur le bouton qui crée une nouvelle clé et donnez-lui un nom, par exemple my-first-script.
4. Copiez la clé immédiatement. De nombreux services ne l'affichent qu'une seule fois.

Avec CheapTokens, les étapes du compte à la clé sont décrites dans Votre première requête API avec CheapTokens. CheapTokens fonctionne à partir d'un solde prépayé en USD : un seul solde pour tous les modèles. Si une requête échoue parce que le solde est vide, consultez l'erreur « Not enough tokens ».

Où une clé ne doit jamais se trouver#

La plupart des fuites ne sont pas des piratages. Ce sont des erreurs de copier-coller :

• une clé écrite directement dans le code (api_key="sk-...") puis poussée sur GitHub ;
• une clé dans une capture d'écran, un message de chat ou une question sur un forum ;
• une clé dans du code front-end (une page web ou une application mobile) : n'importe qui peut l'ouvrir et la lire ;
• un fichier .env qui a été commité dans git.

Le dernier cas est le plus courant. Même si vous supprimez le fichier au commit suivant, la clé reste dans l'historique git, donc une clé qui a été commitée un jour doit être considérée comme compromise.

Stockez la clé dans une variable d'environnement#

Une variable d'environnement est une valeur nommée qui vit dans votre système, pas dans votre code. Le programme la lit au démarrage, ainsi le code peut être partagé en toute sécurité et la clé reste sur votre machine.

Sous Linux ou macOS, définissez-la pour le terminal courant :

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

Dans Windows PowerShell :

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

Cela dure jusqu'à ce que vous fermiez le terminal. Pour la conserver entre les sessions, placez la ligne dans le profil de votre shell, ou utilisez un fichier .env pour le projet et ajoutez-le à .gitignore avant le premier commit :

# .gitignore
.env

Lisez ensuite la clé dans le code. Ne la saisissez jamais directement :

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

Si la variable est absente, os.environ[...] arrête le programme avec une erreur immédiatement, ce qui est préférable à l'envoi d'une requête avec une clé vide.

Faites un premier appel#

CheapTokens parle les formats OpenAI Chat Completions et Anthropic Messages, donc les SDK standards fonctionnent : vous ne changez que l'URL de base et la clé. Voici un test complet avec MiniMaxAI/MiniMax-M2.7 :

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

La même chose avec curl, où le shell substitue la variable et la clé n'apparaît jamais dans la commande :

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

Un test court comme celui-ci coûte peu cher. Par exemple, une requête avec 1 000 tokens d'entrée et 500 tokens de sortie coûte $0.00013 au prix actuel. MiniMax-M2.7 dispose aussi d'un contexte de 180K et fournit des réponses allant jusqu'à 8 192 tokens, ce qui en fait un modèle confortable pour les premières expériences. Si la réponse s'arrête au milieu d'une phrase, consultez Pourquoi une réponse d'IA s'arrête-t-elle au milieu d'une phrase ?.

Copiez l'identifiant du modèle depuis la documentation CheapTokens plutôt que depuis un autre service : les noms de modèles diffèrent d'un fournisseur à l'autre.

Des habitudes qui gardent une clé en sécurité#

• Une clé par projet. Si l'une fuite, vous ne remplacez que celle-là et rien d'autre ne cesse de fonctionner.
• Donnez des noms aux clés qui indiquent où elles sont utilisées (laptop-script, telegram-bot), afin de savoir quoi mettre à jour après un remplacement.
• Gardez un solde faible pendant votre apprentissage. Avec un solde prépayé, les dégâts d'une clé compromise sont limités à ce qu'il contient, mais c'est toujours votre argent.
• Ne collez pas de clés dans des chats avec des personnes ou des assistants IA, et retirez-les des logs et des captures d'écran.
• Ne mettez pas la clé dans un navigateur ou une application mobile. Appelez l'API depuis un serveur que vous contrôlez, et laissez l'application communiquer avec ce serveur.

Que faire si une clé a fuité#

Si vous avez poussé une clé vers un dépôt public, l'avez envoyée dans un message ou n'êtes simplement pas sûr, agissez comme si elle était déjà entre de mauvaises mains :

1. Révoquez la clé en premier. Ouvrez la page où vous l'avez créée et supprimez-la ou désactivez-la. Faites-le avant tout le reste ; le nettoyage vient après.
2. Créez une nouvelle clé avec un nouveau nom.
3. Remplacez-la partout où elle était utilisée : variables d'environnement, fichiers .env, serveurs, applications et outils.
4. Vérifiez votre solde et votre utilisation. Des requêtes que vous n'avez pas faites sont le signe que l'ancienne clé a été utilisée.
5. Nettoyez la source. Retirez la clé du code et ajoutez .env à .gitignore. Supprimer le fichier ne retire pas la clé de l'historique git, c'est pourquoi l'étape 1 compte plus que la réécriture de l'historique.

L'ordre est important. Une clé révoquée est inoffensive même si elle reste dans un ancien commit.

Prochaines étapes#

• Faites votre première requête avec une clé : Votre première requête API avec CheapTokens.
• Comprenez ce que vous payez : Qu'est-ce qu'un token en IA ?.
• Rechargez le solde quand il est épuisé : l'erreur « Not enough tokens ».

Prêt à essayer ? Obtenez une clé CheapTokens, définissez-la comme CHEAPTOKENS_API_KEY et exécutez l'exemple ci-dessus.

Les endpoints, identifiants de modèles et limites de chaque modèle se trouvent dans la documentation CheapTokens.