Authentification
Comment transmettre votre clé, quel en-tête chaque format attend et comment protéger vos clés.
Chaque requête nécessite une clé API créée dans votre tableau de bord. Les clés commencent par sk- et disposent des autorisations et du solde du compte qui les a créées.
Deux en-têtes, une seule clé
La même clé fonctionne dans les deux formats : seul le nom de l’en-tête change.
| Format | Endpoint | En-tête |
|---|---|---|
| Anthropic | /v1/messages | x-api-key: sk-... |
| Anthropic (alt) | /v1/messages | Authorization: Bearer sk-... |
| OpenAI | /v1/chat/completions | Authorization: Bearer sk-... |
Le format Anthropic exige également un en-tête de version. Tout SDK Anthropic le définit automatiquement :
-H "anthropic-version: 2023-06-01"Variables d’environnement
La plupart des outils lisent ces variables plutôt que de recevoir une clé en argument :
| Variable | Utilisée par | Valeur |
|---|---|---|
ANTHROPIC_BASE_URL | Claude Code, SDK Anthropic | https://aiprimetech.io |
ANTHROPIC_AUTH_TOKEN | Claude Code | votre sk- clé |
ANTHROPIC_API_KEY | SDK Anthropic (Python/TS) | votre sk- clé |
OPENAI_BASE_URL | SDK OpenAI, LangChain, LiteLLM | https://aiprimetech.io/v1 |
OPENAI_API_KEY | SDK OpenAI | votre sk- clé |
Notez le champ
/v1 comme suffixe de OPENAI_BASE_URL mais pas de ANTHROPIC_BASE_URL. Cette asymétrie vient des SDK officiels, nous ne l’avons pas introduite : le client OpenAI ajoute des chemins à l’adresse de base que vous lui fournissez, tandis que le client Anthropic ajoute /v1 lui-même. Une mauvaise configuration de ce point est de loin l’erreur de configuration la plus courante.Bonnes pratiques pour les clés
- Créez une une clé distincte par machine ou projet afin de pouvoir en révoquer une sans affecter les autres.
- N’enregistrez jamais de clés dans le dépôt. Utilisez des variables d’environnement ou un gestionnaire de secrets ; ajoutez
.envà.gitignore. - Les clés ne sont affichées intégralement qu’ une seule fois. Remplacez une clé perdue plutôt que d’essayer de la récupérer.
- Une clé divulguée permet de dépenser votre solde. Révoquez-la immédiatement dans le tableau de bord : la révocation est instantanée.
- Privilégiez les appels côté serveur. Une clé incluse dans un bundle destiné au navigateur ou dans une application mobile est accessible au public.
Révocation et rotation
- Tableau de bord → Clés API.
- Créez d’abord la clé de remplacement et déployez-la.
- Supprimez l’ancienne clé une fois le trafic basculé. Les requêtes en cours qui l’utilisent échouent immédiatement après sa suppression.