Clé API ChatGPT : à quoi elle sert, comment la sécuriser

Une clé API ChatGPT n’a rien à voir avec votre compte sur chatgpt.com. C’est un jeton secret qui permet à un programme — un script, une application, un outil interne — d’envoyer des requêtes directement au modèle, sans passer par l’interface de conversation. La confusion la plus fréquente : croire qu’un abonnement ChatGPT Plus donne accès à cette clé. Ce sont deux offres séparées, avec deux modes de facturation différents.

L’abonnement Plus facture un montant fixe par mois pour une utilisation dans l’interface de conversation. La clé API facture chaque requête au volume de texte échangé, sans abonnement mensuel obligatoire — utile pour cinq requêtes par jour, potentiellement coûteux sans limite pour un usage plus intensif.

Ce qu’il faut avant de commencer

• —Un compte développeur distinct de votre compte ChatGPT habituel, créé sur la plateforme dédiée d’OpenAI plutôt que sur chatgpt.com.
• —Un moyen de paiement enregistré, puisque la facturation se fait à l’usage et non par abonnement.
• —Un endroit pour stocker la clé en dehors de votre code — une variable d’environnement ou un gestionnaire de secrets, jamais un fichier que vous pourriez publier.

Une méthode par étapes

1. 01Générez la clé depuis votre compte développeur, jamais depuis l’interface de conversation grand public, qui n’en propose pas.
2. 02Copiez-la immédiatement dans un gestionnaire de secrets ou une variable d’environnement — la plateforme ne l’affiche généralement qu’une seule fois.
3. 03Fixez tout de suite une limite de dépense mensuelle dans les paramètres de facturation, avant le premier appel réel.
4. 04Testez avec une seule requête simple, sur un texte sans donnée sensible, avant de brancher la clé sur un usage réel.

Un exemple de bout en bout

Approche à éviter : coller la clé directement dans un script partagé avec l’équipe, ou pire, dans un dépôt de code — même privé. Une clé qui apparaît une seule fois dans un historique de versions y reste, même après suppression du fichier qui la contenait.

Approche correcte pour une tâche courante — résumer chaque jour un rapport déposé dans un dossier partagé : la clé est stockée comme variable d’environnement sur la machine qui exécute le script, jamais écrite dans le fichier lui-même. Le script la lit au démarrage, envoie le texte du rapport à l’API, et écrit le résumé obtenu dans un second fichier. Personne d’autre que la machine qui exécute ce script n’a besoin de voir la valeur de la clé.

Si la clé doit malgré tout être partagée avec une autre personne de l’équipe, la plateforme permet d’en créer une seconde, restreinte à un usage précis, plutôt que de faire circuler la même clé principale par message.

Une clé API qui a fuité une seule fois n’est plus une clé sécurisée, même si personne ne semble encore l’avoir utilisée. La seule réponse correcte est de la révoquer et d’en générer une nouvelle.

Ce qui reste à vérifier avant utilisation

Trois vérifications comptent plus que la mise en place elle-même. D’abord la limite de dépense, revue régulièrement plutôt que fixée une fois et oubliée — un script qui boucle sur une erreur peut multiplier les appels sans qu’une personne s’en rende compte immédiatement. Ensuite, quelles données transitent réellement par la clé : la politique de confidentialité européenne d’OpenAI et son addendum de traitement des données précisent ce que l’entreprise fait des informations envoyées via l’API, à lire avant d’y faire transiter une donnée client. Enfin, la documentation sur l’usage des données via l’API précise que les échanges via cette voie ne sont, par défaut, pas utilisés pour entraîner les modèles — un point distinct du fonctionnement de l’interface de conversation grand public.

Les recommandations de sécurité de l’ANSSI pour un système d’IA générative rappellent que limiter les accès au strict nécessaire — une clé par usage, une limite de dépense par clé — n’est pas une prudence excessive mais une recommandation officielle. Les recommandations de la CNIL sur l’IA générative en TPE et PME ajoutent que la question de la donnée envoyée à un service externe se pose avant la mise en place, pas après un incident.

Le rythme auquel ces outils progressent est suivi chaque année par le Stanford AI Index — cela ne dispense pas de relire chaque résultat renvoyé par l’API avant de l’utiliser tel quel, surtout quand personne ne voit plus la réponse passer par une interface de conversation avant qu’elle n’atterrisse dans un document ou un e-mail. Cette même exigence de vérification est ce que le PwC AI Jobs Barometer retrouve derrière la prime salariale qu’il mesure sur près d’un milliard d’offres d’emploi.

Ce que vous essayez cette semaine

1. 01Créez un compte développeur distinct de votre compte ChatGPT habituel, si ce n’est pas déjà fait.
2. 02Générez une clé et stockez-la immédiatement en variable d’environnement, jamais dans un fichier de code.
3. 03Fixez une limite de dépense mensuelle avant le premier appel réel.
4. 04Testez sur une tâche unique et un texte non sensible avant de brancher la clé sur un usage régulier.

Si le besoin réel est de construire une interface autour de cette clé plutôt que d’un script isolé, Créer une appli AI détaille cette étape suivante. Si le programme doit décider seul de plusieurs actions plutôt que de répondre à une seule requête, Créer un agent IA précise où poser la limite. Si une conversation configurée suffit et qu’aucun code n’est nécessaire, Créer une IA part de ce besoin plus simple. Pour la partie sur la formulation des requêtes envoyées via cette clé, Formation prompt IA suit la même logique qu’un bon prompt dans l’interface de conversation.

Cette compétence — cadrer précisément un accès et vérifier ce qu’il fait réellement — est ce que Coursium fait pratiquer par petites leçons sur votre téléphone, sur des tâches réelles plutôt que sur une démonstration. Gardez une longueur d’avance sur l’IA en commençant ici — ou lisez d’abord à propos de Coursium.