Gérer les clés API

Une clé API est l’identifiant secret qui autorise un assistant IA à accéder à votre centre. Chaque assistant connecté a la sienne. Cette page explique comment créer une clé, comment en changer (rotation) et comment la révoquer, ainsi que les précautions à prendre pour la garder confidentielle. Ces opérations se font en ligne de commande ; si vous n’êtes pas à l’aise avec cet outil, votre intégrateur peut s’en charger.

Ce qu’il faut savoir sur une clé

Une clé prend la forme d’un jeton commençant par ppmcp_. Deux points sont essentiels :

• Le jeton n’est affiché qu’une seule fois, au moment de sa création. Il n’est jamais stocké en clair et ne peut pas être réaffiché ensuite. Si vous le perdez, vous ne pouvez pas le retrouver : il faut révoquer l’ancienne clé et en créer une nouvelle.
• Une clé peut avoir une date d’expiration, que vous fixez à la création (par exemple 90 jours).

Une clé est un secret

Traitez une clé API comme un mot de passe. Ne la partagez pas, ne l’envoyez pas par message non protégé, ne la publiez nulle part. Quiconque possède une clé valide peut accéder à vos données.

Créer une clé

Donnez à chaque clé un libellé clair (par exemple le nom de l’assistant ou du poste qui l’utilisera), afin de l’identifier facilement plus tard.

1. Lancez la commande de création en précisant un libellé et, si vous le souhaitez, une durée de validité :

   npm run mcp:key:create -- --label "..." --expires 90d

2. Copiez le jeton ppmcp_… affiché et mettez-le immédiatement à l’abri : il ne sera plus jamais affiché.

3. Insérez ce jeton dans la configuration de votre assistant (voir Connecter Claude Desktop ou Claude Code).

Lister les clés

Pour voir les clés existantes (leur libellé, leur identifiant), utilisez :

npm run mcp:key:list

Cette liste vous sert notamment à retrouver l’identifiant d’une clé à révoquer.

Faire tourner une clé (rotation)

La rotation consiste à remplacer une clé par une nouvelle, sans interruption de service. C’est une bonne pratique à intervalles réguliers, et c’est aussi la marche à suivre si une clé a expiré ou risque d’avoir été exposée.

1. Créez une nouvelle clé (voir plus haut).
2. Mettez à jour la configuration de l’assistant avec ce nouveau jeton.
3. Révoquez l’ancienne clé une fois que la nouvelle fonctionne.

Révoquer une clé

Révoquer une clé la rend immédiatement inutilisable. Faites-le dès qu’une clé n’est plus utilisée, ou aussitôt si vous pensez qu’elle a pu être vue par un tiers.

1. Repérez l’identifiant de la clé avec la commande de liste ci-dessus.

2. Révoquez-la en indiquant cet identifiant :

   npm run mcp:key:revoke -- --id <identifiant>

Une clé par assistant

Donnez une clé distincte à chaque assistant ou poste connecté, avec un libellé reconnaissable. Ainsi, si l’un d’eux est compromis, vous révoquez uniquement sa clé sans couper l’accès des autres.