Partager une clé API ou un token sans la laisser dans le chat

Une clé API, un token OAuth ou un secret de webhook, ce n’est pas « juste un mot de passe de plus ». Si quelqu’un le copie depuis un fil Slack ou une boîte mail, il peut souvent agir pendant des mois — parfois sans que vous le remarquiez tout de suite.

Pourtant, en équipe, on les envoie encore en clair dans un message « le temps que le collègue le note ». Le problème : le canal garde le texte, même après que tout le monde a oublié l’échange.

Pourquoi le chat et l’e-mail sont mauvais pour les secrets techniques

Comme pour un mot de passe classique, WhatsApp, Slack, Teams, Discord ou Gmail sont conçus pour archiver :

• recherche full-text dans l’historique ;
• exports, sauvegardes, rétention légale ;
• accès admin ou compte compromis qui remonte des mois en arrière.

Un token Stripe, SendGrid, GitHub ou AWS dans un thread devient une copie permanente à plusieurs endroits. Révoquer la clé côté fournisseur ne supprime pas le message dans Slack.

Pour les mots de passe « humains », nous avons déjà détaillé les risques dans envoyer un mot de passe de façon sécurisée. Les clés API suivent la même logique, avec un impact souvent plus large (accès à des données ou à de la facturation).

Ce qu’il vaut mieux faire

1. Ne jamais coller le secret dans le même message que le lien qui permet de le lire.
2. Transmettre le secret une seule fois, puis le faire disparaître côté serveur après lecture.
3. Révoquer ou faire tourner la clé si vous suspectez une fuite — même si le lien a déjà été consommé.

Avec Secret Share, le texte est chiffré dans le navigateur (AES-256). Le serveur ne reçoit pas le token en clair ; la clé de déchiffrement est dans l’URL, pas dans notre base. Après ouverture par le destinataire, le blob chiffré est supprimé : rouvrir le lien ne redonne rien.

C’est le même principe qu’un message auto-destructible, appliqué à un bloc de texte que vous copiez ensuite dans un gestionnaire de secrets ou une variable d’environnement.

Cas d’usage fréquents

• onboarding d’un dev : token temporaire le temps du premier déploiement ;
• support client : secret de webhook à configurer une fois ;
• prestataire externe : clé limitée en scope, à ne pas laisser dans un fil projet ;
• rotation d’urgence : nouvelle clé à passer à une seule personne sans spammer toute l’équipe.

En pratique

1. Collez la clé ou le token sur secretshare.eu.
2. Copiez uniquement le lien généré.
3. Envoyez le lien par le canal habituel (Slack, e-mail, ticket).
4. Le destinataire lit, copie dans son coffre ou son .env, et le message côté Secret Share n’existe plus.

Si vous découvrez Secret Share, le fonctionnement général est expliqué dans C’est quoi secretshare.eu ?.

Pour commencer : secretshare.eu.