---
title: "Partager des clés API en toute sécurité | Blog LinkPilot"
url: https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely
description: "Ne collez jamais de clé API dans un e-mail ou une messagerie. Envoyez un lien à usage unique chiffré dans le navigateur et renouvelez toute clé collée."
lang: fr
---

Sécurité (https://uselinkpilot.com/fr/blog/category/security)

# Partager des clés API en toute sécurité

Ne collez jamais de clé API dans un e-mail ou une messagerie. Envoyez un lien à usage unique chiffré dans le navigateur et renouvelez toute clé collée.

W. Miller (https://uselinkpilot.com/fr/author/w-miller)26 mai 2026 · Mis à jour le 22 octobre 2026 · À propos de LinkPilot (https://uselinkpilot.com/fr/about)

Ne collez jamais une clé API dans une messagerie ou un e-mail. Envoyez-la par un lien secret à usage unique (https://uselinkpilot.com/fr/tools/free-secret-link-generator): la clé est chiffrée dans votre navigateur, la clé de déchiffrement reste dans la partie du lien située après le #, et la copie stockée est détruite dès la première ouverture. Renouvelez ensuite toute clé qui a déjà été collée en texte en clair.

La suite de ce guide entre dans le détail: pourquoi les canaux habituels ne conviennent pas, la procédure de transmission exacte, que faire quand une clé fuit malgré tout, et les cas où le lien à usage unique n’est pas le bon outil.

## Pourquoi est-il risqué d’envoyer une clé API par Slack ou par e-mail?

Parce que l’un comme l’autre conserve le message tant que quelque chose le garde, et le copie au passage sur chaque appareil et dans chaque export.

- **Les deux sont consultables par recherche pour toujours.** Une clé partagée en 2023 est la clé d’où partira votre prochain incident. Les attaquants qui s’introduisent dans une messagerie ou une boîte mail d’entreprise y cherchent couramment les chaînes qui ressemblent à des clés API: `sk_live`, `AKIA`, `ghp_`, `Bearer`.
- **Les deux se synchronisent partout.** Téléphones, ordinateurs personnels, tablettes: des appareils qui échappent à vos contrôles de sécurité et à votre politique d’effacement à distance.
- **Les deux sont exportés.** Audits de conformité, procédures judiciaires de communication de pièces et exports d’espace de travail produisent tous des copies de l’historique. Chaque export est un endroit de plus où la clé existe.
- **Les deux survivent au départ des personnes.** La mission du prestataire se termine; le fil de messages privés qui contient votre clé Stripe, lui, reste.

Mettre un secret dans l’un de ces outils, c’est accepter qu’il vive partout où le message aboutit, aussi longtemps que quelque chose le conserve. Aucun des deux systèmes n’a été conçu pour oublier.

## Avant de partager: réduire la clé

La meilleure transmission est celle où la clé transmise compte à peine. Avant de générer quoi que ce soit, appliquez le principe du moindre privilège à la source:

- **Limitez son périmètre.** Clés restreintes Stripe (https://docs.stripe.com/keys), jetons d’accès personnels à granularité fine de GitHub (https://docs.github.com/en/authentication/keeping-your-account-and-data-secure/managing-your-personal-access-tokens), politiques AWS IAM limitées à des actions et des ressources précises: la plupart des fournisseurs sérieux permettent de créer une clé qui ne fait que la seule chose dont le destinataire a besoin.
- **Préférez la lecture seule**, sauf si l’écriture est réellement nécessaire.
- **Fixez une expiration côté fournisseur** quand la plateforme le permet (jetons à granularité fine de GitHub, identifiants temporaires AWS via STS (https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html)). Même une clé qui a fuité a alors une durée de vie limitée, quoi que vous fassiez ensuite.
- **Nommez-la d’après le destinataire** (`vendor-x-readonly`): dans six mois, la décision de la révoquer se prendra d’un coup d’œil, sans travail d’archéologie.

Avec une clé limitée, en lecture seule et qui expire, la pire fuite possible n’est plus un incident mais un simple désagrément.

## La procédure de transmission

1. **Générez la clé dans le système d’origine** (AWS, Stripe, votre propre API) avec le périmètre minimal, comme indiqué plus haut.
2. **Collez-la dans un lien secret à usage unique** avec la destruction après lecture activée et l’expiration la plus courte possible: 1 heure est la durée prédéfinie la plus courte, suivie de 24 heures et 7 jours, et le forfait Pro permet une date et une heure personnalisées. Juste le temps de la transmission, pas plus.
3. **Ajoutez une phrase de passe, transmise par un autre canal**: le lien par e-mail, la phrase de passe par SMS ou en message privé Slack. Dans LinkPilot, la phrase de passe, l’expiration personnalisée et l’historique d’audit sont des fonctions du forfait Pro, à 29 $/mois. Si l’un des canaux fuit, l’attaquant n’a toujours que la moitié du puzzle. (LinkPilot hache la phrase de passe dans le navigateur avec SHA-256 avant l’envoi; la phrase de passe en clair n’atteint jamais la base de données ni les journaux du serveur, et les tentatives sont limitées à 5 par IP et par minute.)
4. **Envoyez le lien.**
5. **Vérifiez par un autre canal que le destinataire l’a bien récupéré**, et consultez l’historique d’audit: une seule ouverture, à l’heure prévue, depuis le lieu prévu. C’est votre accusé de réception.

Si le lien n’est pas ouvert avant l’expiration, révoquez-le et renvoyez-en un nouveau. Ne prolongez pas l’ancien et ne le réutilisez pas.

## Exemple: transmettre une clé restreinte Stripe

```bash
# generate a restricted key with the minimum needed scopes
stripe api_keys create \
  --restricted \
  --display-name "vendor-x-readonly"

# pipe the resulting key into a LinkPilot secret
curl -X POST https://api.uselinkpilot.com/v1/secrets \
  -H "Authorization: Bearer $LP_KEY" \
  -d 'payload=sk_restricted_…' \
  -d 'expires_in=3600' \
  -d 'burn_after_read=true'
```

Ce que voit le destinataire: en ouvrant le lien, il arrive sur une page avec un bouton Afficher, pas sur la clé. Les outils d’aperçu de liens et les scanners d’e-mails qui préchargent l’URL n’obtiennent que des métadonnées, car une ouverture n’est enregistrée que sur l’action explicite d’affichage, jamais sur le `GET`. Quand le destinataire clique sur Afficher (et saisit la phrase de passe, s’il y en a une), il voit la clé une seule fois. Ensuite, la copie stockée est écrasée et le lien renvoie une erreur HTTP 410. Même si l’e-mail circule de transfert en transfert dans toute l’entreprise, seule la première personne à l’ouvrir a pu lire la clé, et l’historique d’audit vous dit de qui il s’agit.

## Quel canal pour quelle transmission

| Situation | Méthode recommandée | Remarques |
| --- | --- | --- |
| Collègue dans la même pièce ou en appel | Lien à usage unique, expiration au bout de 1 heure (la durée prédéfinie la plus courte) | Phrase de passe facultative: vous pouvez confirmer la réception en direct |
| Collègue à distance | Lien à usage unique + phrase de passe par un second canal | Expiration au bout de 1 heure |
| Prestataire ou agence | Clé limitée + lien à usage unique + phrase de passe | Nommez la clé d’après eux; planifiez la révocation pour la fin de la mission |
| Client qui reçoit sa propre clé | Lien à usage unique depuis votre application ou votre parcours de support | Expiration au bout de 24 heures; demandez-lui de la stocker immédiatement |
| Pipeline CI/CD ou service | Stockage de secrets de la plateforme (secrets Actions, Vault, ASM) | Jamais un lien: les machines ne font pas de transmission |
| Toute l’équipe, accès permanent | Coffre-fort du gestionnaire de mots de passe | Il s’agit de stockage et de contrôle d’accès, pas d’une transmission |

## Que faire si une clé API fuit?

Considérez-la comme compromise et renouvelez-la chez le fournisseur; supprimer le message ne sert à rien. Toute clé passée par un message de messagerie, le corps d’un e-mail, une capture d’écran, un commit git ou un site de partage de texte public est concernée. Dans l’ordre:

1. **Émettez d’abord la clé de remplacement**, si le fournisseur autorise deux clés actives en même temps. Cela évite une interruption pour les utilisateurs légitimes.
2. **Révoquez la clé compromise chez le fournisseur.** C’est la seule étape qui met réellement fin à l’exposition; supprimer le message Slack ne le fait pas.
3. **Transmettez la nouvelle clé correctement**: lien à usage unique, phrase de passe, expiration courte, selon la procédure ci-dessus.
4. **Consultez les journaux d’utilisation du fournisseur** pour la clé compromise, entre son exposition et sa révocation. Des appels inattendus signifient qu’il s’agit désormais d’un incident, et plus d’un simple nettoyage.
5. **Corrigez la cause du collage**: placez le secret dans votre outillage de variables d’environnement exclu par `.gitignore`, activez l’analyse des secrets chez votre hébergeur de dépôts, ou mettez à jour la procédure qui demandait de l’envoyer en message privé.

L’ensemble doit prendre quelques minutes. Si renouveler une clé fait assez peur pour qu’on l’évite, cette fragilité est la vraie vulnérabilité: corrigez-la en premier.

## Ce qu’il faut éviter

- **Renvoyer le même secret.** Renouvelez-le plutôt. Le renvoyer efface la garantie d’audit d’« une exposition et une seule » qui faisait l’intérêt du lien à usage unique.
- **Les expirations longues.** Choisissez une durée courte par défaut. La plupart des transmissions se font en quelques minutes; une fenêtre de 8 heures n’est qu’une fuite plus longue.
- **Se passer de la phrase de passe.** Elle ne coûte presque rien et protège contre les fuites accidentelles d’URL: e-mails transférés, partages d’écran, regard indiscret par-dessus l’épaule devant un écran partagé.
- **Les captures d’écran de clés.** Elles finissent dans la galerie photo, la synchronisation des photos dans le cloud et la recherche d’images. Une capture d’écran a la permanence d’un message collé dans une messagerie, avec une recherche moins pratique pour _vous_ et parfaitement pratique pour l’OCR.
- **Utiliser l’outil de liens comme stockage.** Le lien est le coursier, pas le coffre-fort. Le destinataire doit stocker la clé dans un gestionnaire de mots de passe ou son outillage de variables d’environnement dès qu’il la reçoit.

## Quand le lien à usage unique n’est pas le bon outil

Soyons honnêtes, cette méthode a ses limites:

- **Les identifiants de machine à machine** ont leur place dans un gestionnaire de secrets ou le stockage natif de la plateforme, injectés au déploiement ou à l’exécution. Une personne qui clique sur un lien n’est pas une étape de déploiement.
- **Les identifiants partagés de longue durée** ont leur place dans un gestionnaire de mots de passe, avec un vrai contrôle d’accès et une révocation personne par personne.
- **Le renouvellement très fréquent** (des clés qui changent toutes les heures) doit être automatisé de bout en bout; ni les personnes ni les liens n’ont leur place dans cette boucle.
- **Les secrets qu’aucun tiers ne doit toucher, sous aucun prétexte**: faites la transmission hors ligne. _Mise à jour du 29 septembre 2026: ce point indiquait à l’origine que LinkPilot ne revendiquait pas le chiffrement de bout en bout et conseillait d’utiliser un outil chiffré de bout en bout. LinkPilot chiffre désormais le texte dans le navigateur, ainsi que les fichiers joints, si bien qu’il ne stocke jamais que du texte chiffré. La page Architecture de sécurité (https://uselinkpilot.com/fr/security-architecture) indique précisément ce qui est protégé et ce qui ne l’est pas._

Pour le cas courant, une personne qui transmet un identifiant à une autre personne, une seule fois, le lien à usage unique avec phrase de passe et expiration courte est la méthode simple la plus solide qui existe.

## À lire aussi

- Pourquoi les URL divulguent des informations sensibles: https://uselinkpilot.com/fr/blog/why-urls-leak-sensitive-information
- Partager un mot de passe en toute sécurité: 5 méthodes comparées: https://uselinkpilot.com/fr/secure-password-sharing
- Architecture de sécurité de LinkPilot: https://uselinkpilot.com/fr/security-architecture
- Comparatif des API de raccourcisseurs de liens: https://uselinkpilot.com/fr/blog/url-shortener-api-comparison
- Générateur de liens secrets gratuit: https://uselinkpilot.com/fr/tools/free-secret-link-generator

## Références

- Stripe Docs, API keys: limit access with restricted keys (https://docs.stripe.com/keys).
- GitHub Docs, Managing your personal access tokens (https://docs.github.com/en/authentication/keeping-your-account-and-data-secure/managing-your-personal-access-tokens).
- AWS IAM User Guide, Temporary security credentials in IAM (https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html).

## Outils pour cet article

Générateur de liens secrets à usage unique

Partagez un mot de passe ou une note par un lien qui ne s’ouvre qu’une fois.
https://uselinkpilot.com/fr/tools/free-secret-link-generator

Message éphémère

Envoyez une note qui disparaît après une seule lecture.
https://uselinkpilot.com/fr/tools/burn-after-read-secret

Générateur de liens temporaires

Créez des liens qui cessent de fonctionner à l’heure choisie.
https://uselinkpilot.com/fr/tools/temporary-link

## Questions fréquentes

### Est-ce vraiment si grave d’envoyer une clé API sur Slack?

### Ne vaut-il pas mieux utiliser simplement un gestionnaire de mots de passe?

### Et si le destinataire a de nouveau besoin de la clé plus tard?

### Comment faire parvenir une clé API à un pipeline CI/CD?

### LinkPilot peut-il lire la clé API que je partage?

## LinkPilot envoie un lien secret qui disparaît une fois ouvert.

Chiffré dans votre navigateur, affiché une seule fois, puis détruit. Sans compte.

Créer un lien secret (https://uselinkpilot.com/fr/tools/free-secret-link-generator)

## À lire ensuite

Sécurité

### Comment fonctionnent les liens secrets à usage unique

Un lien secret à usage unique s’affiche une fois: chiffré dans le navigateur, stocké sur le serveur en texte chiffré, détruit à la première ouverture.
https://uselinkpilot.com/fr/blog/how-one-time-secret-links-work

Sécurité

### Liens qui expirent: le secret est détruit, pas redirigé

À l’échéance, un lien secret qui expire détruit le secret; un lien court mort cesse seulement de rediriger. Choisir la durée, et les cas limites.
https://uselinkpilot.com/fr/blog/expiring-links-security

Sécurité

### Chiffrement côté client des secrets: ce qu’il protège ou non

Le chiffrement côté client ne protège un secret stocké que de l’opérateur et d’une fuite de base: JavaScript piégé, extension ou lien divulgué le déjouent.
https://uselinkpilot.com/fr/blog/client-side-encryption-for-secret-sharing

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Accueil",
        "item": "https://uselinkpilot.com/fr"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/fr/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Partager des clés API en toute sécurité",
        "item": "https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely#article",
    "headline": "Partager des clés API en toute sécurité",
    "description": "Ne collez jamais de clé API dans un e-mail ou une messagerie. Envoyez un lien à usage unique chiffré dans le navigateur et renouvelez toute clé collée.",
    "inLanguage": "fr",
    "datePublished": "2026-05-26",
    "dateModified": "2026-10-22",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Person",
      "@id": "https://uselinkpilot.com/author/w-miller#person",
      "name": "W. Miller",
      "url": "https://uselinkpilot.com/fr/author/w-miller",
      "worksFor": {
        "@type": "Organization",
        "name": "LinkPilot",
        "url": "https://uselinkpilot.com"
      }
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/fr/blog/how-to-share-api-keys-securely"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Est-ce vraiment si grave d’envoyer une clé API sur Slack ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Le problème n’est pas l’envoi, c’est la permanence. L’historique d’une messagerie se consulte par recherche, se synchronise sur mobile, est exporté lors des audits de conformité et survit au départ des personnes. Un lien à usage unique retire le secret du canal après une seule lecture."
        }
      },
      {
        "@type": "Question",
        "name": "Ne vaut-il pas mieux utiliser simplement un gestionnaire de mots de passe ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Oui, pour les identifiants de longue durée. Faites du gestionnaire le système de référence et réservez le lien à usage unique à la transmission. Beaucoup d’équipes utilisent les deux : le lien transporte la clé, le coffre-fort la conserve."
        }
      },
      {
        "@type": "Question",
        "name": "Et si le destinataire a de nouveau besoin de la clé plus tard ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ne renvoyez pas l’originale : émettez une nouvelle clé, ou demandez-lui de la stocker dans un gestionnaire dès qu’il la reçoit. Partager à nouveau la même clé contredit la logique de renouvellement et brouille la piste d’audit."
        }
      },
      {
        "@type": "Question",
        "name": "Comment faire parvenir une clé API à un pipeline CI/CD ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Pas avec un lien. Les machines doivent lire les secrets dans le stockage de secrets de la plateforme : secrets GitHub Actions, variables GitLab CI, AWS Secrets Manager, Vault. Les liens à usage unique servent uniquement aux transmissions d’une personne à une autre."
        }
      },
      {
        "@type": "Question",
        "name": "LinkPilot peut-il lire la clé API que je partage ?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Non. Depuis le 29 septembre 2026, le contenu est chiffré dans votre navigateur et la clé voyage dans la partie du lien située après le #, que les navigateurs n’envoient jamais : un opérateur disposant d’un accès complet à la base de données ne voit que du texte chiffré. Les contenus détruits sont écrasés et impossibles à récupérer. La contrepartie : quiconque détient le lien complet détient la clé, donc une expiration courte et la destruction après lecture restent importantes. Les fichiers joints sont chiffrés de la même façon. La page Architecture de sécurité décrit tout le modèle, y compris les métadonnées que nous voyons encore : le nom, la taille et le type d’un fichier."
        }
      }
    ],
    "inLanguage": "fr"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```