--- title: "Transmettre un fichier de config à un développeur" url: https://uselinkpilot.com/fr/blog/how-to-securely-deliver-a-config-file-to-a-developer description: "Séparez réglages et secrets, envoyez les secrets par un lien à usage unique ou une pièce jointe détruite après téléchargement, gardez le .env hors de git." lang: fr --- Sécurité (https://uselinkpilot.com/fr/blog/category/security) # Comment transmettre un fichier de configuration à un développeur en toute sécurité Séparez réglages et secrets, envoyez les secrets par un lien à usage unique ou une pièce jointe détruite après téléchargement, gardez le .env hors de git. LinkPilot Team (https://uselinkpilot.com/fr/author/linkpilot-team) · Les personnes qui développent et exploitent LinkPilot chez TetraCore, LLC 26 octobre 2026 · À propos de LinkPilot (https://uselinkpilot.com/fr/about) Un nouveau développeur arrive, ou un prestataire commence sa mission, et la première chose dont il a besoin est le `.env` qui fait tourner le projet. Ce fichier mélange en général des réglages anodins et les valeurs les plus sensibles que possède l’équipe, et c’est pour cela qu’il finit si souvent dans un message privé ou en pièce jointe d’un e-mail intitulé « config ». Pour transmettre un fichier de configuration à un développeur en toute sécurité, traitez-le comme deux choses distinctes: les réglages, qui peuvent circuler par n’importe quel canal, et les secrets, qui circulent une seule fois par un canal qui ne garde aucune copie. Ce guide explique comment séparer les deux, comment envoyer la partie secrète et quoi dire au développeur pour que le fichier reste protégé une fois arrivé. ## Lisez le fichier comme si chaque ligne était publique Ouvrez le fichier et rangez chaque ligne dans l’un de ces deux groupes. - **Réglages**: niveaux de log, ports, feature flags, endpoints hors production, identifiants client publics. Leur place est dans le dépôt, sous forme de fichier d’exemple, et vous pouvez les envoyer comme bon vous semble. - **Secrets**: mots de passe de base de données, clés API, secrets de signature, clés privées, secrets client OAuth, tout ce qui donne un accès. Recherchez `PASSWORD`, `SECRET`, `TOKEN`, `KEY` et `PRIVATE`, puis lisez le reste, car une chaîne de connexion qui contient le mot de passe ne se signale pas d’elle-même. Demandez-vous ensuite ce que fait le développeur. Le développement local branché sur l’environnement de préproduction a besoin des valeurs de préproduction. Il n’a pas besoin des clés de production, ni de la clé live du prestataire de paiement simplement parce que le fichier en contient une. ## Gardez les secrets hors du fichier versionné Le fichier `.env.example` versionné documente chaque variable avec une valeur fictive. Les vraies valeurs sont injectées à l’exécution depuis l’environnement, un gestionnaire de secrets ou le stockage de secrets de la plateforme elle-même. Avec ce modèle, le fichier que vous transmettez ne contient que les valeurs secrètes, et la copie locale du développeur est le seul endroit où elles se trouvent toutes ensemble. ```bash # .env.example (committed) DATABASE_URL=postgres://app:CHANGE_ME@staging-db.internal:5432/app STRIPE_SECRET_KEY=sk_test_CHANGE_ME SESSION_SECRET=CHANGE_ME LOG_LEVEL=debug ``` Ajoutez `.env` au `.gitignore` avant que quiconque en ait un vrai, et envisagez un hook pre-commit comme gitleaks pour qu’un commit malencontreux échoue tout de suite. ## Donnez au développeur ses propres identifiants quand c’est possible Une transmission est aussi l’occasion d’arrêter de partager. Si la base de données gère des utilisateurs individuels, créez-en un pour le développeur, avec les droits dont son travail a besoin et une date d’expiration. Si l’API propose des clés restreintes, émettez-en une à son nom. Le guide sur les accès temporaires à une base de données pour un prestataire (https://uselinkpilot.com/fr/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely) décrit cette méthode. Des identifiants créés pour une personne peuvent être retirés à cette seule personne. ## Comment transmettre les valeurs secrètes Deux méthodes fonctionnent, et aucune ne laisse le fichier dans un message. **Collez les lignes secrètes dans un lien à usage unique.** Ouvrez l’outil de lien secret (https://uselinkpilot.com/fr/tools/free-secret-link-generator), collez uniquement les lignes qui contiennent des secrets et créez le lien. Le texte est chiffré dans votre navigateur avant d’être stocké, la copie stockée est détruite dès la première ouverture du lien, et le lien expire au bout d’une heure, de 24 heures ou de sept jours si personne ne l’ouvre. Jusqu’à 10 000 caractères passent sans compte, soit plusieurs fois la taille de la plupart des fichiers `.env`. **Joignez le fichier entier à un lien secret.** Depuis un compte LinkPilot connecté, vous pouvez joindre à un secret jusqu’à trois fichiers de 9 Mo chacun. Chaque fichier est chiffré dans votre navigateur avec une clé dérivée de la clé du secret lui-même: le serveur ne détient jamais le fichier en clair, et la pièce jointe est supprimée après l’unique téléchargement. C’est la meilleure méthode quand le fichier doit arriver octet pour octet, par exemple un fichier JSON de compte de service ou un keystore. Dans les deux cas: 1. **Vérifiez l’identité du développeur** par le canal du recrutement ou du contrat, et non par l’adresse qui a demandé le fichier. 2. **Réglez l’expiration** sur la période où il s’en servira réellement. Une heure s’il attend, une journée s’il est dans un autre fuseau horaire. 3. **Limitez le nombre d’ouvertures à une seule.** 4. **Ajoutez une phrase de passe avec un compte Pro** pour les valeurs de production, et envoyez-la par un autre canal. 5. **Envoyez le lien avec une note d’une ligne** qui dit ce qu’il contient et où va le fichier. Envoyez les réglages non secrets séparément ou indiquez le fichier d’exemple dans le dépôt. Une invitation dans le coffre-fort est la meilleure méthode quand le développeur est embauché en poste fixe et que votre équipe utilise déjà un gestionnaire de secrets avec des accès par développeur. Utilisez le lien à usage unique en attendant que cela soit en place, et pour toute personne qui n’aura jamais accès au coffre-fort. ## Dites au développeur où ranger le fichier Une transmission propre peut encore mal finir si le fichier atterrit dans un dossier partagé. Envoyez ces consignes avec les informations de connexion: - **Enregistrez-le sous le nom `.env` à la racine du projet**, et nulle part ailleurs. Vérifiez qu’il est couvert par le `.gitignore` avant le premier commit. - **Ne collez pas les valeurs dans un ticket ou une messagerie** pour demander si elles sont correctes. Signalez une variable manquante ou invalide uniquement par son nom, et l’expéditeur émettra une nouvelle valeur. - **Renouvellement au départ.** À la fin de la mission, les valeurs de ce fichier sont renouvelées. Annoncez-le dès le début, pour que personne ne soit surpris. ## Faites confirmer, puis faites le ménage Demandez au développeur de confirmer le nom du fichier, l’environnement et un repère non secret, par exemple un commentaire de version sur la première ligne. Si un lien à usage unique indique qu’il a été ouvert avant que le développeur n’y accède, considérez toutes les valeurs qu’il contenait comme exposées et renouvelez-les. Une fois la transmission terminée, révoquez tout lien qui n’a jamais été ouvert, supprimez toute copie temporaire que vous avez stockée et notez qui a reçu les valeurs de quel environnement, et quand. Cette trace constitue la piste d’audit. Le fichier lui-même ne doit exister que sur la machine qui en a besoin. ## À lire aussi - Partager des clés API en toute sécurité: https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely - Partage de liens sécurisé pour les développeurs: https://uselinkpilot.com/fr/blog/secure-link-sharing-for-developers - Créer un lien sécurisé temporaire pour partager des fichiers: https://uselinkpilot.com/fr/blog/how-to-create-a-temporary-secure-link-for-sharing-files - Comment fonctionnent les liens secrets à usage unique: https://uselinkpilot.com/fr/blog/how-one-time-secret-links-work ## Outils pour cet article Générateur de liens secrets à usage unique Partagez un mot de passe ou une note par un lien qui ne s’ouvre qu’une fois. https://uselinkpilot.com/fr/tools/free-secret-link-generator Message éphémère Envoyez une note qui disparaît après une seule lecture. https://uselinkpilot.com/fr/tools/burn-after-read-secret Générateur de liens temporaires Créez des liens qui cessent de fonctionner à l’heure choisie. https://uselinkpilot.com/fr/tools/temporary-link ## Questions fréquentes ### Peut-on envoyer un fichier de configuration par e-mail sans risque? ### Faut-il vraiment stocker des secrets dans le fichier de configuration? ### Quelle est la façon la plus sûre de partager un .env avec un prestataire? ### Faut-il chiffrer un fichier de configuration avant de le partager? ### Comment vérifier que le développeur a reçu le bon fichier? ### Que faire si j’ai envoyé le fichier à la mauvaise personne? ## LinkPilot envoie un lien secret qui disparaît une fois ouvert. Chiffré dans votre navigateur, affiché une seule fois, puis détruit. Sans compte. Créer un lien secret (https://uselinkpilot.com/fr/tools/free-secret-link-generator) ## À lire ensuite Sécurité ### Partage de secrets sécurisé pour une équipe à distance Partage de secrets en équipe à distance en cinq étapes: inventaire, coffre-fort ou lien à usage unique, trois règles, l’outil dans Slack, un plan anti-fuite. https://uselinkpilot.com/fr/blog/how-to-implement-secure-secret-sharing-for-remote-teams Sécurité ### Transmettre des identifiants entre équipes en sécurité Transmettre des identifiants entre équipes: coffre-fort ou lien à usage unique selon l’usage, périmètre limité, un responsable et une révocation à temps. https://uselinkpilot.com/fr/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams Suivi des liens ### Gérer des URL personnalisées pour plusieurs clients Une organisation d’agence pour les URL personnalisées: un espace de travail et un domaine par client, des rôles séparés et une liste de contrôle de départ. https://uselinkpilot.com/fr/blog/how-to-manage-branded-urls-across-multiple-client-accounts ## Structured data ```json [ { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Accueil", "item": "https://uselinkpilot.com/fr" }, { "@type": "ListItem", "position": 2, "name": "Blog", "item": "https://uselinkpilot.com/fr/blog" }, { "@type": "ListItem", "position": 3, "name": "Transmettre un fichier de configuration à un développeur", "item": "https://uselinkpilot.com/fr/blog/how-to-securely-deliver-a-config-file-to-a-developer" } ] }, { "@context": "https://schema.org", "@type": "BlogPosting", "@id": "https://uselinkpilot.com/fr/blog/how-to-securely-deliver-a-config-file-to-a-developer#article", "headline": "Transmettre un fichier de configuration à un développeur", "description": "Séparez réglages et secrets, envoyez les secrets par un lien à usage unique ou une pièce jointe détruite après téléchargement, gardez le .env hors de git.", "inLanguage": "fr", "datePublished": "2026-10-26", "dateModified": "2026-10-26", "image": "https://uselinkpilot.com/logo-512.png", "author": { "@type": "Organization", "@id": "https://uselinkpilot.com/author/linkpilot-team#organization", "name": "LinkPilot Team", "url": "https://uselinkpilot.com/fr/author/linkpilot-team" }, "publisher": { "@type": "Organization", "name": "LinkPilot", "url": "https://uselinkpilot.com", "logo": { "@type": "ImageObject", "url": "https://uselinkpilot.com/logo-512.png", "width": 512, "height": 512 } }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://uselinkpilot.com/fr/blog/how-to-securely-deliver-a-config-file-to-a-developer" } }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Peut-on envoyer un fichier de configuration par e-mail sans risque ?", "acceptedAnswer": { "@type": "Answer", "text": "Pas s’il contient des secrets en service. Un e-mail laisse des copies dans les deux boîtes de réception, sur chaque appareil synchronisé et dans leurs sauvegardes. Envoyez les valeurs secrètes par un lien à usage unique et gardez l’e-mail pour les réglages non secrets." } }, { "@type": "Question", "name": "Faut-il vraiment stocker des secrets dans le fichier de configuration ?", "acceptedAnswer": { "@type": "Answer", "text": "Uniquement quand l’application l’exige. Préférez des valeurs fictives dans le fichier versionné et injectez les vraies valeurs à l’exécution depuis l’environnement ou un gestionnaire de secrets. Le fichier d’exemple versionné documente la structure ; les valeurs secrètes circulent à part." } }, { "@type": "Question", "name": "Quelle est la façon la plus sûre de partager un .env avec un prestataire ?", "acceptedAnswer": { "@type": "Answer", "text": "Vérifiez son identité, donnez-lui ses propres identifiants limités à l’environnement dont il a besoin, envoyez ces valeurs par un lien à usage unique, et dites-lui où ranger le fichier et qu’il ne doit jamais être versionné." } }, { "@type": "Question", "name": "Faut-il chiffrer un fichier de configuration avant de le partager ?", "acceptedAnswer": { "@type": "Answer", "text": "Si vous le joignez à un lien secret LinkPilot, il est chiffré dans votre navigateur avant l’envoi et détruit après un seul téléchargement : aucune étape supplémentaire n’est nécessaire. Si vous passez par un autre canal, chiffrez-le avec un outil comme age ou une archive protégée par mot de passe, et envoyez la phrase de passe par un autre moyen." } }, { "@type": "Question", "name": "Comment vérifier que le développeur a reçu le bon fichier ?", "acceptedAnswer": { "@type": "Answer", "text": "Demandez-lui de confirmer le nom du fichier, l’environnement et un repère non secret, par exemple un commentaire de version en haut du fichier. Ne lui demandez jamais de vous renvoyer le contenu." } }, { "@type": "Question", "name": "Que faire si j’ai envoyé le fichier à la mauvaise personne ?", "acceptedAnswer": { "@type": "Answer", "text": "Renouvelez chaque secret qu’il contient sur les systèmes qui l’acceptent, puis mettez à jour les déploiements qui utilisaient les anciennes valeurs. Il est impossible de rappeler le fichier lui-même." } } ], "inLanguage": "fr" }, { "@context": "https://schema.org", "@type": "SoftwareApplication", "@id": "https://uselinkpilot.com/#software", "name": "LinkPilot", "applicationCategory": "BusinessApplication", "operatingSystem": "Web", "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.", "url": "https://uselinkpilot.com", "offers": [ { "@type": "Offer", "name": "Free", "price": "0", "priceCurrency": "USD", "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Pro", "price": "29", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "29", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency", "price": "299", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "299", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency Plus", "price": "799", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "799", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Pro (yearly)", "price": "288", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "288", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency (yearly)", "price": "2988", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "2988", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency Plus (yearly)", "price": "7980", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "7980", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Enterprise", "priceSpecification": { "@type": "PriceSpecification", "priceCurrency": "USD" }, "url": "https://uselinkpilot.com/pricing" } ] }, { "@context": "https://schema.org", "@type": "Organization", "@id": "https://uselinkpilot.com/#organization", "name": "LinkPilot", "alternateName": "LinkPilot by TetraCore", "url": "https://uselinkpilot.com", "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "email": "support@uselinkpilot.com", "url": "https://uselinkpilot.com/support" }, "parentOrganization": { "@type": "Organization", "@id": "https://tetracorehq.com/#organization", "name": "TetraCore", "url": "https://tetracorehq.com/" }, "logo": { "@type": "ImageObject", "url": "https://uselinkpilot.com/logo-512.png", "width": 512, "height": 512 }, "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.", "sameAs": [ "https://x.com/uselinkpilot", "https://www.linkedin.com/company/uselinkpilot", "https://facebook.com/uselinkpilot", "https://github.com/TetraCoreHQ/linkpilot-cli", "https://github.com/TetraCoreHQ/linkpilot-mcp", "https://www.npmjs.com/package/linkpilot", "https://www.npmjs.com/package/@uselinkpilot/sdk", "https://www.npmjs.com/package/@uselinkpilot/mcp", "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad", "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/" ] }, { "@context": "https://schema.org", "@type": "WebSite", "name": "LinkPilot", "url": "https://uselinkpilot.com", "potentialAction": { "@type": "SearchAction", "target": "https://uselinkpilot.com/blog?q={search_term_string}", "query-input": "required name=search_term_string" } } ] ```