Les clés API permettent d'accéder à l'API Claude, mais elles peuvent présenter des risques de sécurité importants si elles ne sont pas gérées correctement. Votre clé API est une clé numérique pour votre compte. Tout comme un numéro de carte de crédit, si quelqu'un obtient et utilise votre clé API, il engendre des frais à votre charge. Cet article décrit les bonnes pratiques pour gérer les clés API afin de les maintenir sécurisées et d'éviter les accès non autorisés et les frais sur votre compte Claude Console.
Risques et vulnérabilités courants
L'une des causes les plus fréquentes de fuite de clés API est l'exposition accidentelle dans des référentiels de code public ou des outils tiers. Les développeurs commettent souvent par inadvertance des clés API en texte brut dans des référentiels GitHub publics ou les saisissent dans des outils tiers, ce qui peut entraîner un accès non autorisé et un abus potentiel des comptes associés.
Bonnes pratiques pour la sécurité des clés API
1. Ne partagez jamais votre clé API
Gardez-la confidentielle : Tout comme vous ne partageriez pas votre mot de passe personnel, ne partagez pas votre clé API. Si quelqu'un a besoin d'accéder à l'API Claude, il doit obtenir sa propre clé.
Ne partagez pas votre clé dans les forums publics : N'incluez pas votre clé API dans les discussions publiques, les e-mails ou les tickets d'assistance, même entre vous et Anthropic.
Soyez prudent avec les outils tiers : Considérez que lorsque vous téléchargez votre clé API sur des outils ou des plateformes tiers (comme un IDE basé sur le web, un fournisseur de cloud ou une plateforme CI/CD), vous donnez au développeur de cet outil l'accès à votre compte Claude Console. Si vous ne faites pas confiance à leur réputation, ne leur faites pas confiance avec votre clé API.
Lorsque vous utilisez un fournisseur tiers, ajoutez toujours votre clé API en tant que secret chiffré. Ne l'incluez jamais directement dans votre code ou vos fichiers de configuration.
2. Surveillez étroitement l'utilisation et les journaux
Nous vous recommandons d'examiner régulièrement la page Journaux (platform.claude.com/logs) et la page Utilisation (platform.claude.com/usage) pour vos clés API dans la Console.
Pour les organisations API avec limite de débit personnalisée : Définissez les limites de dépenses sur la page Facturation (platform.claude.com/settings/billing) et les limites de débit de l'espace de travail sur la page Limites de débit (platform.claude.com/usage/limits).
Ces limites agissent comme une protection contre l'utilisation inattendue due à des clés divulguées ou des scripts erronés.
Pour les organisations API avec limite de débit standard : Activez et configurez le rechargement automatique sur la page Facturation (platform.claude.com/settings/billing).
Cette fonctionnalité vous permet de définir un seuil auquel votre compte facturera automatiquement la carte enregistrée pour reconstituer les crédits d'utilisation.
Examinez attentivement les limites de rechargement automatique. Bien qu'elles garantissent un service continu, elles agissent également comme une protection contre l'utilisation inattendue élevée qui pourrait résulter de clés divulguées ou d'erreurs dans votre code.
3. Gérez les clés API de manière sécurisée avec les variables d'environnement et les secrets
Une bonne pratique pour gérer les clés API de manière sécurisée consiste à utiliser des variables d'environnement pour injecter et partager de manière sécurisée les variables d'environnement. Lorsque vous déployez votre application dans un environnement cloud, vous pouvez utiliser leur solution de gestion des secrets pour transmettre de manière sécurisée la clé API à votre application via une variable d'environnement sans partager par inadvertance votre clé API.
Si vous stockez des secrets localement à l'aide de dotenv, vous devez ajouter vos fichiers .env à votre fichier d'ignore du contrôle de source (par exemple, .gitignore pour git) pour éviter de distribuer par inadvertance des informations sensibles publiquement. Dans les environnements cloud, préférez le stockage des secrets chiffré au lieu des fichiers dotenv.
Exemple Python :
1. Créez un fichier .env dans le répertoire de votre projet.
2. Ajoutez votre clé API au fichier .env :
ANTHROPIC_API_KEY=your-api-key-here
3. Installez le package python-dotenv :
pip install python-dotenv
4. Chargez la clé API dans votre script Python :
from dotenv import load_dotenv
import os
load_dotenv()
my_api_key = os.getenv("ANTHROPIC_API_KEY")
5. Si vous déployez votre application dans un environnement d'hébergement cloud, consultez la documentation de votre fournisseur cloud sur la façon d'ajouter votre clé API Claude et de la partager avec votre application (AWS, GCP, Azure, Vercel, Heroku). Certains fournisseurs offrent plusieurs façons d'injecter de manière sécurisée les variables d'environnement dans votre application.
4. Renouvelez régulièrement les clés API
Renouvelez régulièrement vos clés API selon un calendrier régulier (par exemple, tous les 90 jours) en en créant de nouvelles et en désactivant les anciennes. Cette routine aide à minimiser les risques potentiels si une clé est jamais compromise.
5. Utilisez des clés distinctes à des fins différentes
Si possible, utilisez différentes clés API pour les environnements de développement, de test et de production. De cette façon, vous pouvez corréler votre utilisation à différents cas d'usage internes. Si votre clé API est compromise, cela vous permet de désactiver rapidement juste ce cas d'usage et de limiter tout dommage potentiel.
6. Analysez les référentiels pour les secrets
Vérifiez régulièrement vos référentiels de contrôle de source pour les secrets commis accidentellement.
Utilisez des outils SAST comme Gitleaks (https://github.com/gitleaks/gitleaks) pour analyser vos référentiels à la recherche de secrets commis accidentellement.
Intégrez l'analyse des secrets dans votre pipeline CI/CD pour détecter tout secret avant qu'il ne soit poussé vers la branche principale.
En intégrant l'analyse régulière des secrets dans votre flux de travail de développement, vous pouvez détecter et prévenir l'exposition accidentelle des clés API et d'autres informations sensibles dans vos référentiels de code.
7. Utilisez un système de gestion des clés sécurisé (KMS)
À mesure que les organisations se développent et que le nombre de clés API et d'autres secrets augmente, la gestion sécurisée de ces identifiants sensibles devient plus difficile. C'est là que les systèmes de gestion des clés (KMS) entrent en jeu. Un KMS fournit une solution centralisée pour stocker, accéder et gérer les clés secrètes, y compris les clés API.
Avantages de l'utilisation d'un KMS
Sécurité centralisée : Stockez tous vos secrets dans un seul endroit sécurisé et chiffré.
Contrôle d'accès : Implémentez des contrôles d'accès granulaires pour déterminer qui peut afficher ou utiliser des clés spécifiques.
Pistes d'audit : Suivez tous les accès et modifications apportés à vos secrets à des fins de conformité et de sécurité.
Rotation des clés : Renouvelez facilement les clés régulièrement pour améliorer la sécurité.
Intégration : De nombreuses solutions KMS s'intègrent aux plateformes cloud populaires et aux outils de développement.
Partenariat d'Anthropic avec GitHub pour la protection des clés API
Anthropic s'est associé directement à GitHub pour fournir une couche de protection supplémentaire à nos utilisateurs par le biais du programme partenaire d'analyse des secrets de GitHub. Ce partenariat offre des mesures de sécurité proactives pour prévenir l'abus des clés API accidentellement exposées :
GitHub analyse activement les référentiels publics pour les clés API Claude exposées.
Si une clé API Claude est détectée dans un référentiel GitHub public, GitHub notifie immédiatement Anthropic.
Pour prévenir les abus potentiels, Anthropic désactive automatiquement la clé API exposée.
L'utilisateur affecté reçoit une notification par e-mail détaillée d'Anthropic concernant l'incident.
Que dois-je faire si je soupçonne que ma clé API a été compromise ?
Si vous soupçonnez que votre clé API peut être compromise, nous vous recommandons de révoquer la clé immédiatement. Vous pouvez le faire en vous connectant à votre compte Claude Console, en accédant à la page Clés API (platform.claude.com/settings/keys), en cliquant sur le menu (c'est-à-dire les trois points horizontaux) à côté de la clé en question, et en sélectionnant « Supprimer la clé API ».
Consultez cet article pour plus d'informations : Que dois-je faire si je soupçonne que ma clé API a été compromise ?
La sécurité des clés API est un processus continu qui nécessite de la vigilance et un examen régulier de vos mesures de sécurité. En suivant ces bonnes pratiques, vous pouvez réduire considérablement le risque de fuite de clés API et d'accès non autorisé.