Clés API dans vos automatisations : sécuriser n8n, Make, Claude et OpenAI

En bref

Une clé API d'automatisation se protège avec cinq habitudes : une clé par automatisation, rattachée à un compte de service et non à une personne ; les droits au strict nécessaire ; un plafond de dépense quand le fournisseur en propose un ; le coffre d'identifiants de l'outil (n8n, Make) plutôt qu'un champ de texte ; une date de rotation écrite dans un inventaire. Rien de tout cela ne demande un logiciel de plus.

L'outil change deux choses. Dans Make, toute connexion créée dans une équipe peut être utilisée et gérée par tous les membres de cette équipe, selon l'aide de Make. Chez OpenAI, le budget d'un projet n'est qu'un seuil d'alerte : une clé qui fuit continue de consommer jusqu'à sa révocation, alors qu'Anthropic permet un vrai plafond mensuel par espace de travail.

Si une clé a fuité, révoquez-la avant de nettoyer le code : la documentation de GitHub est formelle, retirer le secret du dépôt n'empêche pas qu'on s'en serve. Et créez toujours les clés sur des comptes de l'entreprise, jamais sur ceux d'un prestataire : le jour où la mission s'arrête, il n'y a rien à récupérer et tout se coupe en un geste.

Chaque automatisation inutile ajoute une clé à garder. Notre guide pour choisir les tâches à automatiser aide à n'en construire que là où ça vaut la peine.

Qu'est-ce qu'une clé API, et pourquoi vos automatisations en sont pleines ?

Une clé API est un secret qui permet à un programme d'agir sur un compte sans mot de passe ni double authentification. Quiconque la détient agit au nom de ce compte, avec les droits de la clé. Une automatisation n8n ou Make qui lit un CRM, écrit dans une comptabilité et appelle Claude ou ChatGPT en porte au moins trois.

Dans l'outil, ce secret vit dans un identifiant : un credential dans n8n, une connexion ou une clé (key) dans Make. C'est cet objet qu'on partage, qu'on fait tourner et qu'on supprime. La clé recopiée à la main dans un nœud échappe à tout cela.

Le risque n'a rien de théorique. Un jeton d'API n8n ouvre l'instance elle-même, donc les workflows qui portent toutes vos autres clés. GitGuardian, qui vend un outil de détection de secrets, dit avoir trouvé 4 576 jetons d'API n8n distincts dans des commits publics de GitHub. Sur les 896 instances joignables au moment de son test, 321 acceptaient au moins l'un d'eux (GitGuardian, 5 août 2026).

Ce que n8n, Make, Anthropic et OpenAI proposent déjà

Le tableau reprend la documentation officielle de chaque éditeur.

Outil	Où vit le secret	Qui peut le voir ou l'utiliser	Limiter les droits	Plafond de dépense
n8n	Base de n8n, chiffrée avec une clé générée au premier lancement et rangée dans le dossier ~/.n8n, ou fournie par la variable N8N_ENCRYPTION_KEY	Partage en « Can use » : le destinataire utilise l'identifiant sans voir ni modifier ses détails. Les propriétaires et administrateurs de l'instance voient tous les identifiants. Partage inclus dans toutes les offres Cloud, et en auto-hébergé dans les offres Business et Enterprise seulement	Selon le service appelé	Sans objet
Make	Connexions et clés (keys) de l'équipe, dans la rubrique Credentials	Tous les membres d'une équipe peuvent utiliser et gérer les connexions créées dans cette équipe	Selon le service appelé	Sans objet
API Claude (Anthropic)	Chez vous : Anthropic recommande un gestionnaire de secrets	Clé personnelle, clé de compte de service, ou clé d'espace de travail (ancien modèle, à éviter pour une nouvelle intégration). Une clé créée pour un espace de travail ne fonctionne que dans celui-ci	Par espace de travail ; expiration fixée à la création	Plafond mensuel par espace de travail (pas sur l'espace par défaut)
API OpenAI	Chez vous	Clés gérées projet par projet ; comptes de service limités à un projet, clé affichée une seule fois	Trois niveaux : All (par défaut), Restricted (aucun, lecture ou écriture par point d'accès), Read Only	Budget mensuel par projet, qui « ne bloque pas » la dépense : alerte à 100 % par défaut

Sources : n8n, clé de chiffrement ; n8n, partage des identifiants ; Make, connexions ; Anthropic, authentification de l'API ; Anthropic, espaces de travail ; OpenAI, projets de la plateforme API.

Dans Make, l'équipe est la frontière de sécurité : une connexion à la paie ou à la banque n'a rien à faire dans l'équipe où dix personnes construisent des scénarios. Chez OpenAI, le budget prévient mais ne protège pas. Surveillez l'alerte la première semaine, et sachez où révoquer la clé avant d'en avoir besoin.

La procédure en neuf étapes

La personne qui administre votre n8n ou votre Make s'en charge, avec la direction pour les étapes 3 et 7 : à qui appartiennent les comptes, qui accède à quoi. Il ne faut aucun logiciel nouveau, seulement un tableur et les consoles des fournisseurs que vous utilisez déjà.

1. Faites l'inventaire. Une ligne par clé : service, automatisation qui l'utilise, compte qui l'a créée, droits, endroit où elle est rangée, plafond, date de création, date de la prochaine rotation. Sans cette liste, aucune des étapes suivantes ne se vérifie.
2. Une clé par automatisation et par environnement. Anthropic recommande des clés distinctes pour le développement, les tests et la production : on sait qui consomme quoi, et on coupe une seule clé en cas de fuite (aide Claude, mise à jour le 12 mars 2026).
3. Un compte de service, pas le compte d'un salarié. Anthropic le recommande pour les usages partagés ou automatisés, et OpenAI rattache ses comptes de service à un projet. Une clé personnelle part avec la personne : son départ casse l'automatisation ou, pire, ne la casse pas et la clé reste active.
4. Les droits minimum. Chez OpenAI, une clé « Restricted » ou « Read Only » dès que l'automatisation n'a pas besoin de tout. Chez Anthropic, une clé limitée à un espace de travail. Pour un CRM ou une comptabilité, une clé en lecture seule quand le workflow ne fait que lire.
5. Un plafond de dépense. Chez Anthropic, un espace de travail par automatisation sensible, avec son plafond mensuel. Chez OpenAI, un budget par projet, en sachant qu'il n'arrête rien.
6. Rangez la clé dans le coffre de l'outil : un identifiant dans n8n (y compris le type générique du nœud HTTP Request), une connexion ou une clé dans Make. Jamais dans un nœud Code, une URL de webhook, un en-tête tapé en clair, une feuille Google partagée ou un message Slack.
7. Partagez l'usage, pas la valeur. Dans n8n, partagez l'identifiant en « Can use » plutôt que de transmettre la clé. Dans Make, créez une équipe à part pour les connexions sensibles et n'y mettez que les personnes qui en ont besoin.
8. Faites tourner les clés à date fixe. Anthropic donne en exemple une rotation tous les 90 jours : créer la nouvelle clé, la mettre dans l'outil, vérifier un passage du workflow, puis désactiver l'ancienne. Chez Anthropic la désactivation se défait et la suppression non : désactivez d'abord, supprimez quand le workflow tourne. Dans Make, modifier une connexion oblige à ressaisir tous ses champs, et le changement s'applique à tous les modules qui l'utilisent.
9. Écrivez la conduite à tenir en cas de fuite avant d'en avoir besoin. C'est la section qui suit.

Si votre n8n est auto-hébergé : trois réglages à vérifier

Ils ne concernent que l'installation sur votre propre serveur. Sur n8n Cloud, l'éditeur gère l'instance.

• La clé de chiffrement. n8n chiffre les identifiants avec une clé qu'il crée au premier lancement, ou avec celle de la variable N8N_ENCRYPTION_KEY (documentation n8n). Qui détient cette clé et la base de données peut déchiffrer tous vos identifiants. GitGuardian recommande de la générer avec une source aléatoire sûre, jamais à partir d'un nom de société ou d'un mot de passe. Gardez-en une copie hors du serveur, avec la sauvegarde : sans elle, une base restaurée ne sert à rien.
• L'accès aux variables d'environnement. Par défaut, N8N_BLOCK_ENV_ACCESS_IN_NODE vaut false : les expressions et le nœud Code peuvent lire les variables d'environnement du serveur (documentation n8n, variables de sécurité). Si des secrets y sont rangés, passez la variable à true.
• Les mises à jour. GitGuardian décrit une faille du nœud Git (CVE-2026-25053) qui permettait à un utilisateur capable de créer des workflows de lire le fichier contenant la clé de chiffrement. Elle est corrigée dans les versions 1.123.10 et 2.5.0. Limitez l'édition des workflows aux personnes de confiance : écrire un workflow, c'est pouvoir faire sortir un secret.

Les coffres externes (1Password, AWS, Azure, GCP, HashiCorp Vault, Infisical) sont réservés à l'offre Enterprise de n8n, en Cloud comme en auto-hébergé, et ne servent que dans les champs d'identifiants (documentation n8n). Sans cette offre, les identifiants restent dans la base chiffrée de n8n : ce sont alors la clé de chiffrement et la liste des administrateurs qu'il faut tenir serrées.

Une clé a fuité : l'ordre des gestes

1. Révoquez la clé chez le fournisseur. GitHub en fait l'action prioritaire et précise que retirer le secret du code ou recréer le dépôt n'empêche pas son exploitation (documentation de GitHub). Si couper la clé arrête un service critique, créez d'abord la nouvelle clé aux mêmes droits, branchez-la, puis révoquez l'ancienne.
2. Remplacez-la dans l'outil et lancez le workflow une fois pour vérifier.
3. Lisez les journaux du fournisseur : appels et dépense depuis la date probable de la fuite.
4. Nettoyez ensuite le code, l'historique, le message ou le document où la clé traînait.
5. Notez l'incident dans l'inventaire : date, clé, cause, ce qui a changé.

Pour les clés de l'API Claude publiées sur un dépôt GitHub public, GitHub prévient Anthropic, qui désactive la clé et envoie un e-mail au titulaire du compte (aide Claude). Cela ne couvre ni les dépôts privés, ni une clé collée dans un e-mail ou un ticket.

Une clé d'API n'est pas une donnée personnelle en soi. Mais si elle donnait accès à un CRM ou à des dossiers clients, la fuite peut devenir une violation de données personnelles à documenter, voire à notifier. Voyez votre délégué à la protection des données, ou le site de la CNIL.

Exemple : l'inventaire d'une PME de 40 personnes

Un exemple inventé pour fixer les idées, qui ne décrit aucun client réel : quatre clés, quatre lignes.

Clé	Automatisation	Compte	Droits	Rangée où	Plafond	Rotation
API Claude	Tri des e-mails entrants (n8n)	Compte de service, espace « tri-mails »	Un seul espace de travail	Identifiant n8n, partagé en « Can use »	Plafond mensuel de l'espace	Tous les 90 jours
API OpenAI	Résumé des appels (Make)	Compte de service du projet « appels »	Restricted	Connexion Make, équipe « Ventes »	Budget avec alerte (n'arrête rien)	Tous les 90 jours
CRM	Relance des devis (n8n)	Utilisateur technique du CRM	Lecture des devis, écriture des tâches	Identifiant n8n	Sans objet	Au départ d'un administrateur, et une fois par an
Banque (lecture)	Rapprochement (Make)	Accès en lecture seule	Lecture	Connexion Make, équipe « Finance » à deux membres	Sans objet	Selon la durée fixée par la banque

Ce tableau répond aux trois questions qui se posent le jour d'un incident : à qui demander quand un workflow s'arrête, quoi couper quand quelqu'un part, quelle clé révoquer quand une fuite est signalée.

Ce que je ferais en premier dans une PME

L'inventaire d'abord, pas un outil. Un gestionnaire de secrets ou une offre Enterprise ne sert à rien si personne ne sait combien de clés existent ni qui les a créées.

Ensuite, les clés sur vos comptes, jamais sur ceux du prestataire. Avant la mise en production, demandez-lui la liste des clés qu'il a créées, sur quel compte, et comment les révoquer. Chez Waimia, les clés se créent sur les comptes du client : c'est lui qui les garde, et c'est ainsi que nous construisons les automatisations pour PME, en n8n comme en Make. Si le prestataire disparaît demain, vous coupez tout vous-même en un geste.

Je ne donne pas non plus le rôle d'administrateur n8n à tout le monde pour éviter de partager les identifiants un par un : un administrateur voit tous les identifiants. Et je n'automatise pas un accès que je ne sais pas couper. Si vous ne savez pas où révoquer une clé, ne la créez pas encore.

Pour faire le point sur vos automatisations existantes, l'audit gratuit de Waimia dure 45 minutes : prendre rendez-vous. Si vous découvrez n8n, lisez d'abord n8n, c'est quoi et le comparatif n8n et Make. Pour les offres d'équipe des assistants IA, voyez le comparatif Claude, ChatGPT et Mistral.