---
title: "Clé d’accès et clé secrète AWS : créer, renouveler, partager"
url: https://uselinkpilot.com/fr/blog/aws-access-key-and-secret-key
description: "ID de clé d’accès et clé secrète AWS : pourquoi le secret ne s’affiche qu’une fois, la rotation, que faire après une fuite et comment le partager."
lang: fr
---

Sécurité (https://uselinkpilot.com/fr/blog/category/security)

# Clé d’accès et clé secrète AWS: les créer, les utiliser, les renouveler et les partager en toute sécurité

ID de clé d’accès et clé secrète AWS: pourquoi le secret ne s’affiche qu’une fois, la rotation, que faire après une fuite et comment le partager.

LinkPilot Team (https://uselinkpilot.com/fr/author/linkpilot-team) · Les personnes qui développent et exploitent LinkPilot chez TetraCore, LLC 26 octobre 2026 · À propos de LinkPilot (https://uselinkpilot.com/fr/about)

Une clé d’accès AWS se compose de deux chaînes qui, ensemble, permettent à un programme d’agir en tant qu’utilisateur IAM: l’ID de clé d’accès, qui identifie la clé, et la clé d’accès secrète, qui prouve sa possession. En anglais, on les cherche sous trois noms (access key and secret key, secret access key, ou simplement AWS secret key), mais il s’agit toujours de la même paire. On la retrouve dans les configurations de la CLI, dans les pipelines de CI et, bien trop souvent, dans un message Slack.

Ce guide explique ce que sont les deux moitiés, comment les créer et les configurer, comment faire une rotation sans interruption de service, que faire en cas de fuite, et répond à la question qui revient à chaque arrivée d’un développeur ou d’un prestataire: comment transmettre une clé secrète à une personne sans la mettre dans un e-mail.

## ID de clé d’accès et clé d’accès secrète

| | ID de clé d’accès | Clé d’accès secrète |
| --- | --- | --- |
| Format | `AKIAIOSFODNN7EXAMPLE` (20 caractères) | 40 caractères, majuscules, minuscules et symboles |
| Rôle | Indique quelle clé signe la requête | Signe la requête et prouve la possession |
| Secrète? | Non, à traiter comme un nom d’utilisateur | Oui, à traiter comme un mot de passe |
| Visible plus tard? | Oui, dans la console IAM | Jamais après la création |

Les clés à long terme commencent par `AKIA`. Les identifiants temporaires délivrés par STS, qui s’accompagnent aussi d’un jeton de session, commencent par `ASIA` et expirent d’eux-mêmes. Une clé `ASIA` dans un fichier de configuration cessera de fonctionner en quelques heures: c’est voulu.

Aucune des deux moitiés n’accorde de droits. La clé authentifie un utilisateur IAM, et ce sont les stratégies attachées à cet utilisateur qui décident de ce que cette identité peut faire. Une clé divulguée sur un utilisateur en lecture seule est un problème. Une clé divulguée sur un administrateur est un incident.

## Avez-vous vraiment besoin d’une clé à long terme?

Honnêtement, moins souvent qu’on ne le croit.

- **Les charges de travail sur AWS** (EC2, Lambda, ECS, EKS) doivent utiliser des rôles IAM. Le SDK récupère automatiquement des identifiants de courte durée, et il n’y a rien à renouveler ni à laisser fuiter.
- **Les personnes** doivent se connecter via IAM Identity Center ou un SSO fédéré et obtenir des identifiants temporaires avec `aws sso login`.
- **Les systèmes de CI** comme GitHub Actions peuvent assumer un rôle via OIDC, sans clé stockée.
- **Les clés à long terme** restent pour les cas qui ne peuvent rien faire de tout cela: un outil sur un ordinateur portable sans prise en charge du SSO, un service tiers qui n’accepte que des clés statiques, une tâche ancienne que vous n’avez pas encore migrée.

Si vous en avez besoin, créez-la sur un utilisateur IAM dédié, avec la stratégie la plus restreinte qui permet de faire le travail, et jamais sur le compte administrateur d’une personne.

## Créer et configurer une clé

Dans la console IAM, ouvrez l’utilisateur, choisissez « Security credentials », puis « Create access key ». Choisissez le cas d’usage demandé par AWS, lisez l’alternative qu’il propose, puis continuez. Le secret ne s’affiche qu’une seule fois. Enregistrez-le directement dans votre gestionnaire de secrets ou votre gestionnaire de mots de passe, ou téléchargez le CSV et supprimez-le après l’importation. Chaque utilisateur IAM peut avoir au plus deux clés à la fois, et c’est ce qui rend la rotation possible.

Sur une machine, configurez un profil nommé plutôt que le profil par défaut:

```bash
aws configure --profile deploy-tool
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: ...
# Default region name [None]: eu-west-1
```

Cette commande écrit `~/.aws/credentials` et `~/.aws/config`. Limitez l’accès au fichier à votre utilisateur avec `chmod 600`. Pour les conteneurs et la CI, injectez `AWS_ACCESS_KEY_ID` et `AWS_SECRET_ACCESS_KEY` en tant que secrets depuis le coffre de la plateforme, pas en variables en clair dans un fichier YAML, et ne les passez jamais en ligne de commande, où elles finissent dans l’historique du shell.

## Faire une rotation sans rien casser

La rotation se fait en quatre étapes, grâce à la limite de deux clés.

1. **Créez la deuxième clé** sur le même utilisateur.
2. **Basculez tout ce qui l’utilise** sur la nouvelle clé: configurations, secrets de CI, entrée du gestionnaire de secrets. La console IAM affiche la date de dernière utilisation de chaque clé, ce qui vous indique si vous avez oublié quelque chose.
3. **Désactivez l’ancienne clé.** Attendez un jour ou un cycle de déploiement. Si quelque chose casse, réactivez-la, corrigez le service concerné et recommencez.
4. **Supprimez l’ancienne clé** une fois que plus rien ne l’utilise.

Faites-le selon un calendrier pour les clés qui doivent exister, et à chaque événement pour toutes: un départ, un changement de fournisseur, un ordinateur perdu, un soupçon de fuite. AWS Config et IAM Access Analyzer peuvent signaler les clés plus anciennes que ce que votre politique autorise.

## Quand une clé a été exposée

Considérez comme compromise toute clé apparue dans un dépôt, un journal, un ticket ou une messagerie, même si elle a été supprimée une minute plus tard. Les scanners trouvent les secrets poussés en quelques secondes.

1. **Désactivez la clé** dans IAM, tout de suite. N’attendez pas d’avoir créé la clé de remplacement, sauf si l’interruption de service serait pire que l’exposition.
2. **Créez une clé de remplacement** et mettez à jour ce qui l’utilisait.
3. **Lisez CloudTrail** pour chaque action effectuée avec cet ID de clé d’accès depuis l’exposition. Cherchez de nouveaux utilisateurs ou clés IAM, de nouvelles instances, des stratégies de bucket modifiées et des régions inhabituelles.
4. **Vérifiez la facture** et Cost Explorer pour repérer des pics qui ressemblent à du minage de cryptomonnaie.
5. **Retirez le secret** du code, des journaux et de l’historique git. AWS peut attacher lui-même la stratégie `AWSCompromisedKeyQuarantine` à l’utilisateur quand il détecte une fuite publique; laissez-la en place jusqu’à la fin du nettoyage.
6. **Supprimez l’ancienne clé**, puis trouvez comment elle s’est retrouvée là et fermez cette voie.

## Comment transmettre une clé secrète AWS à une personne

Parfois, la clé doit parvenir à un humain: un prestataire qui en a besoin pour un outil de déploiement, un développeur qui rejoint un projet avant la mise en place du SSO, l’intégration d’un fournisseur qui demande de la coller dans son tableau de bord. L’e-mail, Slack et les tickets gardent tous des copies, et un secret de 40 caractères y reste lisible pendant des années.

La méthode sûre prend une minute:

1. **Créez une clé pour cette personne** sur un utilisateur IAM dédié, avec la stratégie dont sa tâche a besoin et rien de plus. Ne partagez pas une clé que quelque chose d’autre utilise.
2. **Collez uniquement la clé d’accès secrète** dans un lien secret à usage unique (https://uselinkpilot.com/fr/tools/free-secret-link-generator). Elle est chiffrée dans votre navigateur avant d’être stockée, la copie stockée est détruite dès la première ouverture du lien, et le lien expire au bout d’une heure, d’un jour ou d’une semaine si personne ne l’ouvre.
3. **Envoyez le lien** avec une ligne de contexte. Envoyez l’ID de clé d’accès, la région et le nom du profil dans un message séparé; aucun de ces éléments n’est secret à lui seul.
4. **Ajoutez une phrase de passe avec un compte Pro** pour tout ce qui dépasse la lecture seule, et transmettez-la par SMS ou lors d’un appel.
5. **Vérifiez que la personne l’a ouvert.** Si le lien indique qu’il a déjà été consulté alors qu’elle ne l’a pas ouvert, désactivez la clé et recommencez.
6. **Désactivez la clé** à la fin de la mission, puis supprimez-la.

Le guide sur les clés API (https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely) applique la même méthode aux autres fournisseurs, et le guide partage de liens sécurisé pour les développeurs (https://uselinkpilot.com/fr/blog/secure-link-sharing-for-developers) explique comment automatiser la transmission lors de l’intégration des nouveaux arrivants.

## À lire aussi

- Partager des clés API en toute sécurité: https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely
- Gestionnaire de secrets cloud: ce que c’est et comment le choisir: https://uselinkpilot.com/fr/blog/cloud-secret-manager
- Envoyer en toute sécurité un accès temporaire à une base de données à un prestataire: https://uselinkpilot.com/fr/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely
- Comment fonctionnent les liens secrets à usage unique: https://uselinkpilot.com/fr/blog/how-one-time-secret-links-work

## Outils pour cet article

Générateur de liens secrets à usage unique

Partagez un mot de passe ou une note par un lien qui ne s’ouvre qu’une fois.
https://uselinkpilot.com/fr/tools/free-secret-link-generator

Message éphémère

Envoyez une note qui disparaît après une seule lecture.
https://uselinkpilot.com/fr/tools/burn-after-read-secret

Générateur de liens temporaires

Créez des liens qui cessent de fonctionner à l’heure choisie.
https://uselinkpilot.com/fr/tools/temporary-link

## Questions fréquentes

### Puis-je revoir ma clé d’accès secrète AWS après l’avoir créée?

### L’ID de clé d’accès est-il la même chose que la clé d’accès secrète?

### Où trouver l’ID d’une clé d’accès existante?

### Les clés d’accès accordent-elles des droits à elles seules?

### Faut-il désactiver une clé avant de la supprimer?

### Que faire si une clé d’accès AWS a été exposée?

## LinkPilot envoie un lien secret qui disparaît une fois ouvert.

Chiffré dans votre navigateur, affiché une seule fois, puis détruit. Sans compte.

Créer un lien secret (https://uselinkpilot.com/fr/tools/free-secret-link-generator)

## À lire ensuite

Sécurité

### Partager des identifiants SSH par un lien qui expire

Préférez la clé publique du destinataire. Pour une clé privée ou un mot de passe: lien à usage unique qui expire, hôte et nom d’utilisateur à part.
https://uselinkpilot.com/fr/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Sécurité

### Partager des identifiants en toute sécurité sans e-mail

Quatre façons de partager un mot de passe sans e-mail, quand choisir chacune, et les étapes pour créer un lien temporaire détruit dès la première ouverture.
https://uselinkpilot.com/fr/blog/how-to-share-credentials-securely-without-email

Sécurité

### Envoyer un secret de signature de webhook à un client

Transmettre un secret de signature de webhook sans copie dans les e-mails ni les tickets: vérifier le destinataire, lien à usage unique, stockage, renouvellement.
https://uselinkpilot.com/fr/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Accueil",
        "item": "https://uselinkpilot.com/fr"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/fr/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Clé d’accès et clé secrète AWS : créer, utiliser, renouveler et partager",
        "item": "https://uselinkpilot.com/fr/blog/aws-access-key-and-secret-key"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/fr/blog/aws-access-key-and-secret-key#article",
    "headline": "Clé d’accès et clé secrète AWS : créer, utiliser, renouveler et partager",
    "description": "ID de clé d’accès et clé secrète AWS : pourquoi le secret ne s’affiche qu’une fois, la rotation, que faire après une fuite et comment le partager.",
    "inLanguage": "fr",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/fr/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/fr/blog/aws-access-key-and-secret-key"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Puis-je revoir ma clé d’accès secrète AWS après l’avoir créée ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Non. AWS affiche la clé d’accès secrète une seule fois, à la création, et plus jamais ensuite. Si elle n’a pas été enregistrée, désactivez cette clé et créez-en une nouvelle. L’ID de clé d’accès reste visible dans la console IAM."
        }
      },
      {
        "@type": "Question",
        "name": "L’ID de clé d’accès est-il la même chose que la clé d’accès secrète ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Non. L’ID de clé d’accès est un identifiant public, comme un nom d’utilisateur, et commence par AKIA pour les clés à long terme. La clé d’accès secrète est la moitié qui joue le rôle de mot de passe et doit rester confidentielle. Les requêtes sont signées avec les deux."
        }
      },
      {
        "@type": "Question",
        "name": "Où trouver l’ID d’une clé d’accès existante ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Dans la console IAM, sous l’utilisateur, dans l’onglet « Security credentials ». Le secret d’une clé existante ne peut pas être récupéré : seuls l’ID, son statut et sa date de dernière utilisation sont visibles."
        }
      },
      {
        "@type": "Question",
        "name": "Les clés d’accès accordent-elles des droits à elles seules ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Non. Une clé authentifie l’utilisateur IAM auquel elle appartient. Ce qu’elle peut faire dépend des stratégies IAM attachées à cet utilisateur. Une clé sans stratégie ne peut rien faire ; une clé rattachée à un administrateur peut tout faire."
        }
      },
      {
        "@type": "Question",
        "name": "Faut-il désactiver une clé avant de la supprimer ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Oui. Désactivez-la d’abord, attendez assez longtemps pour constater que rien n’est cassé, puis supprimez-la. Une clé désactivée peut être réactivée ; une clé supprimée, non."
        }
      },
      {
        "@type": "Question",
        "name": "Que faire si une clé d’accès AWS a été exposée ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Désactivez-la immédiatement dans IAM, créez une clé de remplacement et mettez à jour tout ce qui l’utilisait, examinez dans CloudTrail les actions effectuées avec la clé exposée, cherchez de nouvelles ressources ou des modifications IAM, et retirez la clé du code, des journaux et de l’historique des commits. Cherchez ensuite comment elle a fuité."
        }
      }
    ],
    "inLanguage": "fr"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```