Compte et accès
Comment créer et protéger des clés API ?
Choisissez le bon environnement et le bon type de clé, stockez les secrets en toute sécurité et remplacez les clés sans perturber les intégrations.
Équipe Toden · 2 min de lecture · Français
Sur cette page
Réponse courte
Créez des clés sous Développeurs → Clés API dans l'environnement de console approprié. Utilisez des clés publiables dans les clients pris en charge et des clés secrètes uniquement sur votre backend. Une clé secrète peut lire des résultats sensibles, alors traitez-la comme un identifiant plutôt que comme une étiquette de configuration.
Choisissez la bonne clé
Les préfixes de test et en direct identifient Sandbox et Production. Les clés publiables commencent par pk_ ; les clés secrètes commencent par sk_. Conservez un seul environnement tout au long du flux de travail, des résultats et du chemin du webhook.
La création d'une clé nécessite l'autorisation appropriée. Les clés secrètes sont affichées une fois lors de la création ; stockez-les directement dans votre gestionnaire de secrets agréé. Ils ne peuvent pas être récupérés ultérieurement à partir de la liste des clés. Les clés publiables peuvent être consultées à nouveau par les rôles autorisés.
Restreindre l'endroit où les clés sont utilisées
Les clés publiables prennent en charge les restrictions d'origine du navigateur et les clés secrètes prennent en charge les restrictions de plage IP. Testez les restrictions dans Sandbox avant de les appliquer à une intégration en direct. Une adresse de sortie backend incorrecte peut arrêter la lecture des résultats.
Les restrictions d'origine du navigateur sont un contrôle du navigateur et ne remplacent pas la conservation d'une clé secrète sur un serveur de confiance. Ne placez pas de secrets dans des applications mobiles, des référentiels publics, des captures d'écran, des analyses ou des messages d'assistance.
Remplacer une clé en toute sécurité
Pour un remplacement de routine, créez une clé du même type et du même environnement, appliquez les restrictions prévues, déployez-la et vérifiez que l'ancienne clé n'est plus utilisée avant de la révoquer. Les clients mobiles peuvent avoir besoin de temps pour passer à une nouvelle clé publiable.
Si un secret peut être compromis, révoquez-le rapidement et suivez votre processus d'incident. La révocation est immédiate et irréversible. Consultez le journal d'audit pour la création de clés, les modifications de restrictions et la révocation, sans vous attendre à ce qu'il contienne les informations d'identification elles-mêmes.
Guides associés
Cet article vous a-t-il aidé ?