OpenAI API key : créer, configurer et protéger sa clé

1. Se connecter et choisir le bon projet

Ouvrez platform.openai.com, puis créez un compte ou connectez-vous. Suivez les étapes de configuration qui s’affichent. Le guide de démarrage OpenAI donne un accès direct au tableau de bord des clés API.

Imaginez que votre compte est un badge d’accès, l’organisation une entreprise et le projet une pièce réservée à une application. La clé est le moyen d’authentification qu’utilise votre logiciel pour entrer dans cette pièce.

Dans le sélecteur d’organisation, choisissez celle qui doit héberger le projet. Sélectionnez un projet existant ou, si vous êtes propriétaire de l’organisation, utilisez l’option Create project du menu des projets et renseignez ses paramètres. Un nom comme website-test permet d’en comprendre facilement l’usage. Le guide OpenAI sur les projets détaille ces commandes.

Pour un usage professionnel, demandez au propriétaire de vous ajouter au projet concerné. Évitez de commencer une intégration client avec un compte de facturation personnel simplement parce qu’il est déjà ouvert.

2. OpenAI API key : créer une clé de projet

Dans les paramètres de l’organisation, sélectionnez votre projet, ouvrez API Keys, puis cliquez sur + Create new secret key. La clé créée sera rattachée au projet sélectionné. Instructions pour créer une clé de projet.

Pour votre premier test personnel, utilisez une clé de projet rattachée à votre utilisateur. Si un nom vous est demandé, choisissez-en un facile à reconnaître, comme local-test. Sélectionnez les permissions Restricted et autorisez les opérations dont votre application a besoin. L’option All, activée par défaut, donne un accès complet ; Read Only limite la clé aux opérations de lecture. Permissions des clés API. Pour le test ci-dessous, autorisez la création de réponses, une permission qu’OpenAI nomme api.responses.write. Permission de création de réponses.

Copiez immédiatement la clé secrète dans un espace de stockage sécurisé. OpenAI n’affiche sa valeur complète qu’au moment de sa création. Si vous la perdez, créez une nouvelle clé : vous ne pourrez pas afficher de nouveau l’ancienne. Trouver et gérer ses clés API.

Fixez une date d’expiration et indiquez qui sera chargé de remplacer la clé. La politique de votre organisation peut imposer une expiration ou limiter les types de clés que vous pouvez créer. Si une option n’est pas disponible, demandez à l’administrateur quelle règle s’applique. Recommandations OpenAI pour la production. Préparez un plan d’expiration et de rotation des clés API avant de transformer un test en service actif.

Quand privilégier une clé de compte de service ?

Pour une application déployée ou un workflow d’équipe planifié, je recommande un compte de service : une identité associée au logiciel plutôt qu’à une personne. Le propriétaire de l’organisation ou du projet le crée dans le projet sélectionné, via Members → + Service account. Enregistrez immédiatement la clé générée. Utilisez un projet dédié : les comptes de service ne peuvent pas être ajoutés directement au projet Default. Configuration d’un compte de service.

Après la création, vérifiez ses droits dans les paramètres API Keys du projet. La fenêtre de création d’un compte de service ne propose pas les mêmes réglages de permissions que celle d’une clé rattachée à un utilisateur. Différences de permissions. L’intérêt au quotidien : la responsabilité de la clé utilisée par l’application reste clairement établie, même quand l’équipe change.

3. Configurer la facturation de l’API et plafonner les dépenses

La facturation de ChatGPT et celle de l’API sont distinctes. Payer ChatGPT ne suffit pas à configurer le paiement de l’API. Ouvrez la page de facturation de l’API pour l’organisation concernée ; son propriétaire peut en gérer la facturation. Explications d’OpenAI sur la facturation.

Les nouveaux comptes API fonctionnent en prépaiement. Sélectionnez Add payment details, renseignez vos informations de paiement, choisissez le montant de votre premier achat de crédits, puis confirmez. Avant de valider, vérifiez l’option Use auto-reload : OpenAI indique qu’elle est activée par défaut. Désactivez-la si vous voulez recharger manuellement les crédits pendant vos essais, ou configurez délibérément son seuil de déclenchement et sa limite mensuelle de recharge. L’achat peut mettre quelques minutes à apparaître. Configurer le prépaiement.

Pour connaître les tarifs actuels des modèles, consultez la page des tarifs OpenAI. Le guide des tarifs de l’API OpenAI publié sur ce site vous aide à les replacer dans le budget d’une application.

Activer le blocage des requêtes au plafond de dépenses

Dans Project settings → Limits → Spend → Edit spend limit, renseignez Monthly spend limit, activez Enforce a hard limit, puis enregistrez. Vous devez disposer des droits nécessaires pour gérer les paramètres de ce projet. Ajoutez une alerte de dépenses en dessous du plafond, afin que quelqu’un puisse intervenir avant l’arrêt du service. Configurer les limites de dépenses.

Le blocage peut intervenir avec un léger délai : les dépenses comptabilisées peuvent donc dépasser un peu le montant configuré. Un plafond défini au niveau de l’organisation s’applique à l’ensemble de ses projets. Le solde prépayé peut lui aussi être dépassé si la coupure tarde, et les achats manuels ne sont pas soumis à la limite de recharge automatique. Fonctionnement des plafonds avec blocage, fonctionnement du prépaiement.

Avant une mise en production, lisez le guide des plafonds de dépenses bloquants de l’API OpenAI et déterminez qui pourra relever le plafond s’il interrompt le service.

4. Stocker la clé pour que l’application puisse l’utiliser en toute sécurité

Conservez la clé dans un gestionnaire de secrets, un système conçu pour stocker des identifiants d’authentification, ou transmettez-la à votre serveur au moyen d’une variable d’environnement nommée OPENAI_API_KEY. Une variable d’environnement est un paramètre nommé que le programme peut lire pendant son exécution, sans que le secret figure dans son code source. Recommandations de stockage en production.

Ne placez pas une clé API secrète standard dans le JavaScript d’un site web, une application mobile, un dépôt de code, une capture d’écran ou un message au support. Le code du navigateur et celui des applications mobiles arrivent sur les appareils des utilisateurs ; c’est votre serveur qui doit conserver le secret et envoyer la requête. Donnez à vos collègues leurs propres accès au lieu de faire circuler la clé d’une seule personne. Bonnes pratiques de sécurité des clés API.

Si un outil vous demande de coller une clé : utilisez uniquement le champ prévu dans sa documentation, après avoir décidé que vous faites suffisamment confiance à l’éditeur pour lui transmettre cette clé. Je recommande un projet dédié et une clé aux permissions restreintes pour cette intégration, avec un plafond de dépenses et un responsable. Un champ de texte ordinaire, un message de chat ou un « vérificateur de clé » inconnu ne convient pas pour diagnostiquer un problème de connexion. Demandez à l’éditeur quelles permissions sont nécessaires et où il stocke le secret.

5. Tester la clé avec une requête curl

Exécutez ces commandes dans Bash sur votre ordinateur. curl est un outil en ligne de commande qui envoie une requête web. Les premières lignes demandent la clé secrète sans l’afficher ni inscrire sa valeur dans la commande que vous saisissez ; la variable d’environnement reste disponible pendant cette session du shell.

read -r -s -p "OpenAI API key: " OPENAI_API_KEY
printf '\n'
export OPENAI_API_KEY

curl https://api.openai.com/v1/responses \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -d '{
    "model": "gpt-6-astra",
    "input": "Reply with a short greeting."
  }'

Cet appel reprend la structure de requête et le modèle de l’exemple de génération de texte d’OpenAI. L’API Responses est le point d’accès qui reçoit votre entrée et renvoie la sortie du modèle. L’en-tête d’autorisation contient le secret ; le corps JSON choisit le modèle et fournit la consigne. Cet appel consomme l’API : la facturation et l’accès au modèle doivent donc être opérationnels.

Une réponse réussie contient un tableau output, dans lequel un message comporte du contenu de type output_text. Cherchez la salutation à cet endroit. Ne supposez pas que le texte se trouve toujours dans le premier élément du tableau. Si vous recevez un objet error, utilisez son message et son code pour suivre les vérifications ci-dessous. Structure de la réponse.

Après le test, exécutez unset OPENAI_API_KEY pour effacer la variable de ce shell lorsque vous n’en avez plus besoin. Pour un déploiement, configurez le secret dans votre environnement d’hébergement plutôt que de relancer une saisie dans le terminal.

Votre clé API OpenAI ne fonctionne pas ? Les vérifications à faire

Lisez l’erreur avant de créer une autre clé. Plusieurs causes d’échec n’ont rien à voir avec le secret lui-même.

Une réponse 429 peut signaler un problème de dépenses ou de crédits, aussi bien qu’une limite de débit. Réessayer en boucle ne réapprovisionne pas les crédits et ne modifie pas le plafond configuré. Codes d’erreur OpenAI, permissions des clés.

Votre clé API a fuité ? Révoquez-la immédiatement

Considérez comme exposé tout secret collé dans un dépôt public, une capture d’écran ou un message. Supprimer la copie visible n’invalide pas celles que quelqu’un a déjà pu récupérer.

1. Révoquez la clé exposée. Ouvrez la page des clés API dans le bon projet et supprimez la clé. Les applications qui l’utilisent risquent de s’arrêter jusqu’à son remplacement. Supprimer une clé.
2. Créez une nouvelle clé et mettez à jour les applications concernées. Testez cette nouvelle clé, puis vérifiez que les processus déployés l’utilisent bien.
3. Examinez l’utilisation et la facturation. Recherchez les requêtes inattendues et contactez le support OpenAI si vous soupçonnez un usage abusif. OpenAI recommande de remplacer immédiatement la clé en cas de suspicion de fuite. Conduite à tenir en cas de fuite.
4. Corrigez la cause de l’exposition. Retirez le secret du code et des journaux, puis corrigez la pratique de stockage ou de partage à l’origine de la fuite. Si le compte lui-même a pu être compromis, changez le mot de passe, fermez les autres sessions et signalez toute activité non autorisée. Étapes de récupération du compte.

Cinq usages concrets de cette configuration

Cette configuration donne à l’intégration un responsable et un budget clairement identifiés. Voici des façons concrètes de l’appliquer en équipe, classées selon leur utilité immédiate.

Une clé qui fonctionne prouve qu’une requête peut aboutir. Elle ne prouve pas que vos prompts sont fiables, qu’un éditeur gère correctement les secrets ou qu’une automatisation devrait avoir accès aux données des clients. Ces décisions relèvent toujours du produit et de l’exploitation.

Deux pistes utiles pour accompagner la configuration

La piste la plus prometteuse : un assistant de connexion intégré aux logiciels qui demandent une clé OpenAI à leurs clients. DataForSEO estime à 1,000 recherches mensuelles aux États-Unis le volume de la requête « how to get openai api key ». Cela révèle une difficulté de configuration, sans présager du nombre de clients prêts à payer. Un éditeur pourrait acheter ou développer un parcours guidé avec une liste de vérifications du projet, un champ sécurisé pour la clé, un bouton de test clairement identifié et un résultat lisible. La version minimale devrait être intégrée au produit qui a besoin de la connexion. La difficulté : les éditeurs peuvent la développer eux-mêmes. Sa valeur doit donc venir de la réduction des demandes au support et du maintien à jour des instructions.

Un outil qui explique les erreurs serait utile au support, mais la demande pour un produit autonome paraît plus faible. La même vérification estime à seulement 10 recherches mensuelles aux États-Unis le volume de « openai api key not working ». Un éditeur d’outils d’automatisation ou une agence d’intégration pourrait proposer un formulaire recevant un code et un message d’erreur expurgés des informations sensibles, puis expliquer s’il faut corriger la clé, les crédits, les permissions ou le rythme des requêtes. Sa première version nécessite une table de décision tenue à jour, sans avoir à détenir la clé de l’utilisateur. Les limites sont le faible volume de recherche mesuré et le fait que de nombreux outils affichent déjà ces erreurs. J’en ferais une fonction du parcours de prise en main plutôt qu’un produit payant distinct.

Ces chiffres sont des estimations de l’outil keyword-overview de DataForSEO pour les recherches en anglais aux États-Unis, vérifiées pour ce guide. Ils mesurent des recherches, pas des utilisateurs uniques ni une intention d’achat.

À faire dès lundi : choisissez une intégration, désignez son responsable, créez son projet, configurez le contrôle des dépenses et conservez le résultat d’un test réussi, en retirant le secret. La personne qui prendra ensuite en charge sa maintenance disposera ainsi d’un point de départ utile.

Pour vous faire accompagner dans la mise en production de cette intégration, la page systèmes d’IA en production présente le travail opérationnel nécessaire.