[{"data":1,"prerenderedAt":222},["ShallowReactive",2],{"blog-/fr/blog/partager-une-cle-api-en-securite":3},{"id":4,"title":5,"alternate_path":6,"author":7,"body":8,"date":211,"description":212,"draft":213,"extension":214,"locale":215,"meta":216,"navigation":217,"path":218,"seo":219,"stem":220,"__hash__":221},"blog/blog/partager-une-cle-api-en-securite.md","Partager une clé API ou un token sans la laisser dans le chat","/blog/how-to-share-an-api-key-securely","Rémy Sainsard",{"type":9,"value":10,"toc":203},"minimark",[11,32,39,44,51,64,71,84,88,109,127,135,139,153,157,185,192,195],[12,13,14,15,19,20,23,24,27,28,31],"p",{},"Une ",[16,17,18],"strong",{},"clé API",", un ",[16,21,22],{},"token OAuth"," ou un ",[16,25,26],{},"secret de webhook",", ce n’est pas « juste un mot de passe de plus ». Si quelqu’un le copie depuis un fil Slack ou une boîte mail, il peut souvent agir ",[16,29,30],{},"pendant des mois"," — parfois sans que vous le remarquiez tout de suite.",[12,33,34,35,38],{},"Pourtant, en équipe, on les envoie encore en clair dans un message « le temps que le collègue le note ». Le problème : le canal ",[16,36,37],{},"garde"," le texte, même après que tout le monde a oublié l’échange.",[40,41,43],"h2",{"id":42},"pourquoi-le-chat-et-le-mail-sont-mauvais-pour-les-secrets-techniques","Pourquoi le chat et l’e-mail sont mauvais pour les secrets techniques",[12,45,46,47,50],{},"Comme pour un mot de passe classique, WhatsApp, Slack, Teams, Discord ou Gmail sont conçus pour ",[16,48,49],{},"archiver"," :",[52,53,54,58,61],"ul",{},[55,56,57],"li",{},"recherche full-text dans l’historique ;",[55,59,60],{},"exports, sauvegardes, rétention légale ;",[55,62,63],{},"accès admin ou compte compromis qui remonte des mois en arrière.",[12,65,66,67,70],{},"Un token Stripe, SendGrid, GitHub ou AWS dans un thread devient une ",[16,68,69],{},"copie permanente"," à plusieurs endroits. Révoquer la clé côté fournisseur ne supprime pas le message dans Slack.",[12,72,73,74,79,80,83],{},"Pour les mots de passe « humains », nous avons déjà détaillé les risques dans ",[75,76,78],"a",{"href":77},"/fr/blog/envoyer-un-mot-de-passe-de-facon-securisee","envoyer un mot de passe de façon sécurisée",". Les clés API suivent la même logique, avec un impact souvent ",[16,81,82],{},"plus large"," (accès à des données ou à de la facturation).",[40,85,87],{"id":86},"ce-quil-vaut-mieux-faire","Ce qu’il vaut mieux faire",[89,90,91,97,103],"ol",{},[55,92,93,96],{},[16,94,95],{},"Ne jamais coller le secret dans le même message que le lien"," qui permet de le lire.",[55,98,99,102],{},[16,100,101],{},"Transmettre le secret une seule fois",", puis le faire disparaître côté serveur après lecture.",[55,104,105,108],{},[16,106,107],{},"Révoquer ou faire tourner"," la clé si vous suspectez une fuite — même si le lien a déjà été consommé.",[12,110,111,112,118,119,122,123,126],{},"Avec ",[75,113,117],{"href":114,"rel":115},"https://secretshare.eu",[116],"nofollow","Secret Share",", le texte est ",[16,120,121],{},"chiffré dans le navigateur"," (AES-256). Le serveur ne reçoit pas le token en clair ; la clé de déchiffrement est dans l’URL, pas dans notre base. Après ouverture par le destinataire, le blob chiffré est ",[16,124,125],{},"supprimé"," : rouvrir le lien ne redonne rien.",[12,128,129,130,134],{},"C’est le même principe qu’un ",[75,131,133],{"href":132},"/fr/blog/message-auto-destructible","message auto-destructible",", appliqué à un bloc de texte que vous copiez ensuite dans un gestionnaire de secrets ou une variable d’environnement.",[40,136,138],{"id":137},"cas-dusage-fréquents","Cas d’usage fréquents",[52,140,141,144,147,150],{},[55,142,143],{},"onboarding d’un dev : token temporaire le temps du premier déploiement ;",[55,145,146],{},"support client : secret de webhook à configurer une fois ;",[55,148,149],{},"prestataire externe : clé limitée en scope, à ne pas laisser dans un fil projet ;",[55,151,152],{},"rotation d’urgence : nouvelle clé à passer à une seule personne sans spammer toute l’équipe.",[40,154,156],{"id":155},"en-pratique","En pratique",[89,158,159,167,174,177],{},[55,160,161,162,166],{},"Collez la clé ou le token sur ",[75,163,165],{"href":114,"rel":164},[116],"secretshare.eu",".",[55,168,169,170,173],{},"Copiez ",[16,171,172],{},"uniquement"," le lien généré.",[55,175,176],{},"Envoyez le lien par le canal habituel (Slack, e-mail, ticket).",[55,178,179,180,184],{},"Le destinataire lit, copie dans son coffre ou son ",[181,182,183],"code",{},".env",", et le message côté Secret Share n’existe plus.",[12,186,187,188,166],{},"Si vous découvrez Secret Share, le fonctionnement général est expliqué dans ",[75,189,191],{"href":190},"/fr/blog/cest-quoi-secret-share","C’est quoi secretshare.eu ?",[193,194],"hr",{},[12,196,197,198,166],{},"Pour commencer : ",[16,199,200],{},[75,201,165],{"href":114,"rel":202},[116],{"title":204,"searchDepth":205,"depth":205,"links":206},"",2,[207,208,209,210],{"id":42,"depth":205,"text":43},{"id":86,"depth":205,"text":87},{"id":137,"depth":205,"text":138},{"id":155,"depth":205,"text":156},"2026-10-22","Clés API, tokens OAuth, webhooks : pourquoi Slack et l’e-mail les conservent trop longtemps, et comment utiliser un lien à usage unique.",false,"md","fr",{},true,"/blog/partager-une-cle-api-en-securite",{"title":5,"description":212},"blog/partager-une-cle-api-en-securite","5MpJs-VONPlz9Yjf-g1nJL-yhx2t3uwA1zTv-m9Rk_o",1793087691547]