Clé API

Qu'est-ce que la clé API ?

Une clé API est un secret statique, sous forme de chaîne de caractères, qui identifie l'application, le projet ou l'intégration qui appelle une API, afin que le fournisseur authentifie la requête, applique des quotas et facture l'usage. Elle authentifie l'appelant, pas une personne : quiconque détient la clé peut s'en servir, depuis n'importe quelle machine. Une clé API reste en général valide jusqu'à sa révocation, souvent avec tous les droits du compte qui l'a créée.

À retenir

• Une clé API identifie une application ou un projet, pas une personne : quiconque la copie obtient exactement le même accès.
• Une clé API reste en général valide jusqu'à sa révocation, si bien qu'une clé collée dans un dépôt de code ou un ticket reste exploitable longtemps.
• Une clé API créée par un salarié fonctionne souvent après son départ, car de nombreuses applications la rattachent à l'espace de travail plutôt qu'à l'utilisateur.
• L'offboarding doit recenser et révoquer les clés API créées par la personne qui part : désactiver son compte chez le fournisseur d'identité ne les touche pas.

Comment fonctionne une clé API

• Création : un utilisateur ou un administrateur génère la clé dans les paramètres de l'application ou sa console développeur, parfois avec un périmètre ou une date d'expiration.
• Stockage : la clé est copiée dans un script, un fichier de configuration, un outil d'intégration ou un gestionnaire de secrets, et c'est en général là qu'elle échappe à son créateur.
• Utilisation : chaque requête transporte la clé, dans un en-tête ou un paramètre d'URL, et l'API la compare à sa liste de clés actives.
• Droits : la clé hérite des permissions qu'on lui a données, souvent l'ensemble des droits du compte ou du projet qui l'a créée.
• Révocation : la clé cesse de fonctionner seulement quand quelqu'un la supprime ou la renouvelle dans l'application, ou quand une date d'expiration a été fixée.

Clé API ou jeton d'accès OAuth : où se situe la vraie différence ?

• Clé API : un secret créé une fois par une personne, lié à une application ou à un projet, valide jusqu'à sa révocation, souvent avec des droits larges. Rien dans la clé n'indique pour qui elle agit.
• Jeton d'accès OAuth : délivré par un serveur d'autorisation après qu'un utilisateur ou un administrateur a approuvé des scopes précis, de courte durée, et renouvelé par le flux OAuth au lieu d'être copié à la main.

Pour la gouvernance, la différence tient à la traçabilité. Un jeton d'accès renvoie à une autorisation accordée par quelqu'un, que le serveur d'autorisation peut retirer. Une clé API ne renvoie qu'à la mémoire de la personne qui l'a créée. D'où la règle : chaque clé dans un gestionnaire de secrets, avec un responsable nommé et une date de renouvellement.

Exemples et cas d'usage

Une société e-commerce de 180 salariés laisse sa responsable marketing automation connecter l'outil d'emailing, le CRM et l'outil d'analyse avec des clés API générées depuis son propre compte. Les clés sont stockées dans un outil d'automatisation et dans deux scripts sur un drive partagé. À son départ, l'équipe IT désactive son compte Google Workspace et la retire des applications SaaS connues.

Les clés continuent pourtant de tourner : dans deux des trois outils, elles appartiennent à l'espace de travail et non à son utilisateur, et personne d'autre ne sait où elles sont stockées. Si l'une d'elles ouvre l'accès à des données clients, une fuite devient aussi un sujet RGPD.

L'inventaire de Corma recense les applications SaaS et les comptes que détient chaque salarié, et ses workflows d'offboarding retirent comptes et accès dans ces applications, y compris celles sans SCIM. Cette liste indique à l'équipe IT où chercher les clés créées par la personne partie, pour les révoquer ou les renouveler dans chaque application et pas seulement chez le fournisseur d'identité.

Concepts associés

• Gestion des secrets
• Compte de service
• Identité non humaine (NHI)
• OAuth 2.0
• Offboarding IT
• Plateforme de gestion des identités et des accès Corma

FAQ

Une clé API, est-ce la même chose qu'un mot de passe ?

Non. Un mot de passe prouve l'identité d'une personne, en général avec un second facteur. Une clé API identifie une application, ne s'accompagne d'aucun second facteur et fonctionne pour quiconque la copie.

Une clé API expire-t-elle ?

Seulement si l'application ou la personne qui l'a créée fixe une date d'expiration. Beaucoup de clés restent valides jusqu'à leur suppression ou leur renouvellement manuel.

Que deviennent les clés API au départ d'un salarié ?

Tout dépend de l'application. Certaines désactivent les clés d'un utilisateur supprimé, d'autres les rattachent à l'espace de travail et les laissent actives : chaque clé doit donc être vérifiée et révoquée dans l'application.

Où stocker une clé API ?

Dans un gestionnaire de secrets ou le coffre de la plateforme de déploiement, jamais dans le code source, un ticket ou une messagerie.

Demander une démo