Sécurité des clés

Une clé d’API agit au nom de votre compte. Quiconque la détient peut faire ce que vous faites dans l’application, y compris dépenser vos crédits. Traitez-la comme un mot de passe.

Ce qu’une clé permet

Ce qu’elle voit	vos générations, vos clips, vos crédits, vos modèles de marque
Ce qu’elle ne voit pas	tout ce qui appartient à un autre compte
Ce qu’elle peut faire	tout ce que vous pouvez faire depuis l’application, y compris dépenser des crédits
Sa durée de vie	illimitée, jusqu’à ce que vous la révoquiez
Ses droits	complets : il n’existe pas de clé en lecture seule

Une clé n’expire pas d’elle-même et ne se restreint pas. Faites le tour de vos clés de temps en temps et révoquez celles dont vous ne vous servez plus.

Ce que ClipHeat en conserve

ClipHeat ne conserve pas la clé en clair, seulement une empreinte qui permet de la reconnaître. Personne ne peut donc vous la remontrer : c’est pourquoi elle n’est affichée qu’une fois, à sa création.

Les trois façons de la perdre

1. L’historique de votre terminal. Une commande curl -H "X-API-Key: ch_…" reste dans l’historique du shell. Passez par une variable d’environnement :

   export CLIPHEAT_CLE=ch_votre_cle
   curl https://clipheat.app/api/credits \
     -H "X-API-Key: $CLIPHEAT_CLE"

2. Un dépôt de code ou les journaux d’intégration continue. Une clé écrite dans un fichier versionné est publiée avec lui. Utilisez le gestionnaire de secrets de votre forge ou de votre hébergeur.

3. Le navigateur. N’appelez pas l’API depuis le JavaScript d’une page web : la clé y serait lisible par n’importe quel visiteur. Appelez-la depuis un serveur ou votre poste de travail.

Si une clé a fuité

1. Révoquez-la : Réglages → Clés d’API. Elle est refusée dès l’instant où elle est révoquée.
2. Créez-en une nouvelle et remplacez l’ancienne là où elle servait.

Rien d’autre n’est à faire : une clé révoquée ne donne plus aucun accès.

Astuce

Une clé par usage (un script, une intégration, un assistant) : en cas de doute, vous révoquez celle-là sans couper les autres.

Toujours en HTTPS

La clé voyage dans un en-tête de la requête. Appelez toujours https://clipheat.app : en HTTPS, elle est chiffrée pendant le trajet.