# Clés API dans n8n et Make : les sécuriser en PME > Où ranger une clé API dans n8n ou Make, qui la voit, comment limiter ses droits et sa dépense, la faire tourner et la révoquer : procédure pour une PME. Source : https://waimia.com/blog/cles-api-automatisation-securite-pme --- [Accueil](/)[Blog](/blog)Clés API dans vos automatisations : sécuriser n8n, Make, Claude et OpenAI FR Édition française ◉ Disponible ![Un serrurier à genoux change la serrure d'une grande porte ; l'ancienne clé est au sol, caisse à outils ouverte] § Blog · Automatisation # Clés API dans vos automatisations : sécuriser n8n, Make, Claude et OpenAI Où ranger une clé API dans n8n ou Make, qui la voit, comment limiter ses droits et sa dépense, la faire tourner et la révoquer : procédure pour une PME. Simon Beros·8 novembre 2026·9 min de lecture [Simon Beros](/equipe/simon-beros)8 novembre 2026 · Mis à jour le11 novembre 2026 · 9 min de lecture ## En bref Une clé API d'automatisation se protège avec cinq habitudes : une clé par automatisation, rattachée à un compte de service et non à une personne ; les droits au strict nécessaire ; un plafond de dépense quand le fournisseur en propose un ; le coffre d'identifiants de l'outil (n8n, Make) plutôt qu'un champ de texte ; une date de rotation écrite dans un inventaire. Rien de tout cela ne demande un logiciel de plus. L'outil change deux choses. Dans Make, toute connexion créée dans une équipe peut être utilisée et gérée par tous les membres de cette équipe, selon [l'aide de Make](https://help.make.com/connect-an-application). Chez OpenAI, le budget d'un projet n'est qu'un seuil d'alerte : une clé qui fuit continue de consommer jusqu'à sa révocation, alors qu'Anthropic permet un vrai plafond mensuel par espace de travail. Si une clé a fuité, révoquez-la avant de nettoyer le code : [la documentation de GitHub](https://docs.github.com/fr/code-security/secret-scanning/working-with-secret-scanning-and-push-protection/remediating-a-leaked-secret) est formelle, retirer le secret du dépôt n'empêche pas qu'on s'en serve. Et créez toujours les clés sur des comptes de l'entreprise, jamais sur ceux d'un prestataire : le jour où la mission s'arrête, il n'y a rien à récupérer et tout se coupe en un geste. Chaque automatisation inutile ajoute une clé à garder. Notre guide pour [choisir les tâches à automatiser](/ressources/guides/taches-a-automatiser-pme) aide à n'en construire que là où ça vaut la peine. Vérifiez ce que ce sujet change chez vous : 45 minutes, gratuit, sans engagement. [Réserver l'audit gratuit →](/contact?offer=audit-ia-pme&intent=audit) ## Qu'est-ce qu'une clé API, et pourquoi vos automatisations en sont pleines ? Une clé API est un secret qui permet à un programme d'agir sur un compte sans mot de passe ni double authentification. Quiconque la détient agit au nom de ce compte, avec les droits de la clé. Une automatisation n8n ou Make qui lit un CRM, écrit dans une comptabilité et appelle Claude ou ChatGPT en porte au moins trois. Dans l'outil, ce secret vit dans un identifiant : un *credential* dans n8n, une connexion ou une clé (*key*) dans Make. C'est cet objet qu'on partage, qu'on fait tourner et qu'on supprime. La clé recopiée à la main dans un nœud échappe à tout cela. Le risque n'a rien de théorique. Un jeton d'API n8n ouvre l'instance elle-même, donc les workflows qui portent toutes vos autres clés. GitGuardian, qui vend un outil de détection de secrets, dit avoir trouvé 4 576 jetons d'API n8n distincts dans des commits publics de GitHub. Sur les 896 instances joignables au moment de son test, 321 acceptaient au moins l'un d'eux ([GitGuardian, 5 août 2026](https://blog.gitguardian.com/n8n-security-encryption-key-compromise/)). ## Ce que n8n, Make, Anthropic et OpenAI proposent déjà Le tableau reprend la documentation officielle de chaque éditeur. | Outil | Où vit le secret | Qui peut le voir ou l'utiliser | Limiter les droits | Plafond de dépense | | --- | --- | --- | --- | --- | | n8n | Base de n8n, chiffrée avec une clé générée au premier lancement et rangée dans le dossier `~/.n8n`, ou fournie par la variable `N8N_ENCRYPTION_KEY` | Partage en « Can use » : le destinataire utilise l'identifiant sans voir ni modifier ses détails. Les propriétaires et administrateurs de l'instance voient tous les identifiants. Partage inclus dans toutes les offres Cloud, et en auto-hébergé dans les offres Business et Enterprise seulement | Selon le service appelé | Sans objet | | Make | Connexions et clés (*keys*) de l'équipe, dans la rubrique Credentials | Tous les membres d'une équipe peuvent utiliser et gérer les connexions créées dans cette équipe | Selon le service appelé | Sans objet | | API Claude (Anthropic) | Chez vous : Anthropic recommande un gestionnaire de secrets | Clé personnelle, clé de compte de service, ou clé d'espace de travail (ancien modèle, à éviter pour une nouvelle intégration). Une clé créée pour un espace de travail ne fonctionne que dans celui-ci | Par espace de travail ; expiration fixée à la création | Plafond mensuel par espace de travail (pas sur l'espace par défaut) | | API OpenAI | Chez vous | Clés gérées projet par projet ; comptes de service limités à un projet, clé affichée une seule fois | Trois niveaux : All (par défaut), Restricted (aucun, lecture ou écriture par point d'accès), Read Only | Budget mensuel par projet, qui « ne bloque pas » la dépense : alerte à 100 % par défaut | Sources : [n8n, clé de chiffrement](https://docs.n8n.io/hosting/configuration/configuration-examples/encryption-key) ; [n8n, partage des identifiants](https://docs.n8n.io/credentials/credential-sharing) ; [Make, connexions](https://help.make.com/connect-an-application) ; [Anthropic, authentification de l'API](https://platform.claude.com/docs/fr/manage-claude/authentication) ; [Anthropic, espaces de travail](https://platform.claude.com/docs/en/manage-claude/workspaces) ; [OpenAI, projets de la plateforme API](https://help-lb.openai.com/en/articles/9186755-managing-projects-in-the-api-platform). Dans Make, l'équipe est la frontière de sécurité : une connexion à la paie ou à la banque n'a rien à faire dans l'équipe où dix personnes construisent des scénarios. Chez OpenAI, le budget prévient mais ne protège pas. Surveillez l'alerte la première semaine, et sachez où révoquer la clé avant d'en avoir besoin. ## La procédure en neuf étapes La personne qui administre votre n8n ou votre Make s'en charge, avec la direction pour les étapes 3 et 7 : à qui appartiennent les comptes, qui accède à quoi. Il ne faut aucun logiciel nouveau, seulement un tableur et les consoles des fournisseurs que vous utilisez déjà. - Faites l'inventaire. Une ligne par clé : service, automatisation qui l'utilise, compte qui l'a créée, droits, endroit où elle est rangée, plafond, date de création, date de la prochaine rotation. Sans cette liste, aucune des étapes suivantes ne se vérifie. - Une clé par automatisation et par environnement. Anthropic recommande des clés distinctes pour le développement, les tests et la production : on sait qui consomme quoi, et on coupe une seule clé en cas de fuite ([aide Claude, mise à jour le 12 mars 2026](https://support.claude.com/fr/articles/9767949-bonnes-pratiques-des-cles-api-securiser-vos-cles)). - Un compte de service, pas le compte d'un salarié. Anthropic le recommande pour les usages partagés ou automatisés, et OpenAI rattache ses comptes de service à un projet. Une clé personnelle part avec la personne : son départ casse l'automatisation ou, pire, ne la casse pas et la clé reste active. - Les droits minimum. Chez OpenAI, une clé « Restricted » ou « Read Only » dès que l'automatisation n'a pas besoin de tout. Chez Anthropic, une clé limitée à un espace de travail. Pour un CRM ou une comptabilité, une clé en lecture seule quand le workflow ne fait que lire. - Un plafond de dépense. Chez Anthropic, un espace de travail par automatisation sensible, avec son plafond mensuel. Chez OpenAI, un budget par projet, en sachant qu'il n'arrête rien. - Rangez la clé dans le coffre de l'outil : un identifiant dans n8n (y compris le type générique du nœud HTTP Request), une connexion ou une clé dans Make. Jamais dans un nœud Code, une URL de webhook, un en-tête tapé en clair, une feuille Google partagée ou un message Slack. - Partagez l'usage, pas la valeur. Dans n8n, partagez l'identifiant en « Can use » plutôt que de transmettre la clé. Dans Make, créez une équipe à part pour les connexions sensibles et n'y mettez que les personnes qui en ont besoin. - Faites tourner les clés à date fixe. Anthropic donne en exemple une rotation tous les 90 jours : créer la nouvelle clé, la mettre dans l'outil, vérifier un passage du workflow, puis désactiver l'ancienne. Chez Anthropic la désactivation se défait et la suppression non : désactivez d'abord, supprimez quand le workflow tourne. Dans Make, modifier une connexion oblige à ressaisir tous ses champs, et le changement s'applique à tous les modules qui l'utilisent. - Écrivez la conduite à tenir en cas de fuite avant d'en avoir besoin. C'est la section qui suit. ## Si votre n8n est auto-hébergé : trois réglages à vérifier Ils ne concernent que l'installation sur votre propre serveur. Sur n8n Cloud, l'éditeur gère l'instance. - La clé de chiffrement. n8n chiffre les identifiants avec une clé qu'il crée au premier lancement, ou avec celle de la variable `N8N_ENCRYPTION_KEY` ([documentation n8n](https://docs.n8n.io/hosting/configuration/configuration-examples/encryption-key)). Qui détient cette clé et la base de données peut déchiffrer tous vos identifiants. GitGuardian recommande de la générer avec une source aléatoire sûre, jamais à partir d'un nom de société ou d'un mot de passe. Gardez-en une copie hors du serveur, avec la sauvegarde : sans elle, une base restaurée ne sert à rien. - L'accès aux variables d'environnement. Par défaut, `N8N_BLOCK_ENV_ACCESS_IN_NODE` vaut `false` : les expressions et le nœud Code peuvent lire les variables d'environnement du serveur ([documentation n8n, variables de sécurité](https://docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/use-environment-variables/security)). Si des secrets y sont rangés, passez la variable à `true`. - Les mises à jour. GitGuardian décrit une faille du nœud Git (CVE-2026-25053) qui permettait à un utilisateur capable de créer des workflows de lire le fichier contenant la clé de chiffrement. Elle est corrigée dans les versions 1.123.10 et 2.5.0. Limitez l'édition des workflows aux personnes de confiance : écrire un workflow, c'est pouvoir faire sortir un secret. Les coffres externes (1Password, AWS, Azure, GCP, HashiCorp Vault, Infisical) sont réservés à l'offre Enterprise de n8n, en Cloud comme en auto-hébergé, et ne servent que dans les champs d'identifiants ([documentation n8n](https://docs.n8n.io/administer/manage-credentials/use-external-secret-stores/)). Sans cette offre, les identifiants restent dans la base chiffrée de n8n : ce sont alors la clé de chiffrement et la liste des administrateurs qu'il faut tenir serrées. ## Une clé a fuité : l'ordre des gestes - Révoquez la clé chez le fournisseur. GitHub en fait l'action prioritaire et précise que retirer le secret du code ou recréer le dépôt n'empêche pas son exploitation ([documentation de GitHub](https://docs.github.com/fr/code-security/secret-scanning/working-with-secret-scanning-and-push-protection/remediating-a-leaked-secret)). Si couper la clé arrête un service critique, créez d'abord la nouvelle clé aux mêmes droits, branchez-la, puis révoquez l'ancienne. - Remplacez-la dans l'outil et lancez le workflow une fois pour vérifier. - Lisez les journaux du fournisseur : appels et dépense depuis la date probable de la fuite. - Nettoyez ensuite le code, l'historique, le message ou le document où la clé traînait. - Notez l'incident dans l'inventaire : date, clé, cause, ce qui a changé. Pour les clés de l'API Claude publiées sur un dépôt GitHub public, GitHub prévient Anthropic, qui désactive la clé et envoie un e-mail au titulaire du compte ([aide Claude](https://support.claude.com/fr/articles/9767949-bonnes-pratiques-des-cles-api-securiser-vos-cles)). Cela ne couvre ni les dépôts privés, ni une clé collée dans un e-mail ou un ticket. Une clé d'API n'est pas une donnée personnelle en soi. Mais si elle donnait accès à un CRM ou à des dossiers clients, la fuite peut devenir une violation de données personnelles à documenter, voire à notifier. Voyez votre délégué à la protection des données, ou le site de la CNIL. ## Exemple : l'inventaire d'une PME de 40 personnes Un exemple inventé pour fixer les idées, qui ne décrit aucun client réel : quatre clés, quatre lignes. | Clé | Automatisation | Compte | Droits | Rangée où | Plafond | Rotation | | --- | --- | --- | --- | --- | --- | --- | | API Claude | Tri des e-mails entrants (n8n) | Compte de service, espace « tri-mails » | Un seul espace de travail | Identifiant n8n, partagé en « Can use » | Plafond mensuel de l'espace | Tous les 90 jours | | API OpenAI | Résumé des appels (Make) | Compte de service du projet « appels » | Restricted | Connexion Make, équipe « Ventes » | Budget avec alerte (n'arrête rien) | Tous les 90 jours | | CRM | Relance des devis (n8n) | Utilisateur technique du CRM | Lecture des devis, écriture des tâches | Identifiant n8n | Sans objet | Au départ d'un administrateur, et une fois par an | | Banque (lecture) | Rapprochement (Make) | Accès en lecture seule | Lecture | Connexion Make, équipe « Finance » à deux membres | Sans objet | Selon la durée fixée par la banque | Ce tableau répond aux trois questions qui se posent le jour d'un incident : à qui demander quand un workflow s'arrête, quoi couper quand quelqu'un part, quelle clé révoquer quand une fuite est signalée. ## Ce que je ferais en premier dans une PME L'inventaire d'abord, pas un outil. Un gestionnaire de secrets ou une offre Enterprise ne sert à rien si personne ne sait combien de clés existent ni qui les a créées. Ensuite, les clés sur vos comptes, jamais sur ceux du prestataire. Avant la mise en production, demandez-lui la liste des clés qu'il a créées, sur quel compte, et comment les révoquer. Chez Waimia, les clés se créent sur les comptes du client : c'est lui qui les garde, et c'est ainsi que nous construisons les [automatisations pour PME](/services/automatisations), en [n8n](/services/automatisation-n8n) comme en [Make](/services/automatisation-make). Si le prestataire disparaît demain, vous coupez tout vous-même en un geste. Je ne donne pas non plus le rôle d'administrateur n8n à tout le monde pour éviter de partager les identifiants un par un : un administrateur voit tous les identifiants. Et je n'automatise pas un accès que je ne sais pas couper. Si vous ne savez pas où révoquer une clé, ne la créez pas encore. Pour faire le point sur vos automatisations existantes, [l'audit gratuit de Waimia](/audit-ia-pme) dure 45 minutes : [prendre rendez-vous](/contact?offer=audit-ia-pme&intent=audit). Si vous découvrez n8n, lisez d'abord [n8n, c'est quoi](/blog/n8n-c-est-quoi) et le [comparatif n8n et Make](/ressources/comparatifs/n8n-vs-make). Pour les offres d'équipe des assistants IA, voyez le [comparatif Claude, ChatGPT et Mistral](/blog/claude-chatgpt-mistral-offres-equipe). Partager [X](https://x.com/intent/tweet?url=https%3A%2F%2Fwaimia.com%2Fblog%2Fcles-api-automatisation-securite-pme&text=Cl%C3%A9s%20API%20dans%20vos%20automatisations%C2%A0%3A%20s%C3%A9curiser%20n8n%2C%20Make%2C%20Claude%20et%20OpenAI%20%C2%B7%20Waimia) [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwaimia.com%2Fblog%2Fcles-api-automatisation-securite-pme) § Sources - [n8n, Set a custom encryption key, lu le 8 novembre 2026](https://docs.n8n.io/hosting/configuration/configuration-examples/encryption-key) enterprise - [n8n, Credential sharing, lu le 8 novembre 2026](https://docs.n8n.io/credentials/credential-sharing) enterprise - [n8n, Security environment variables, lu le 8 novembre 2026](https://docs.n8n.io/deploy/host-n8n/configure-n8n/basic-configuration/use-environment-variables/security) enterprise - [n8n, Use external secret stores, lu le 8 novembre 2026](https://docs.n8n.io/administer/manage-credentials/use-external-secret-stores/) enterprise - [Make, Connect an application, lu le 8 novembre 2026](https://help.make.com/connect-an-application) enterprise - [Make, Credential requests (mise à jour le 23 octobre 2026), lu le 8 novembre 2026](https://help.make.com/credential-requests) enterprise - [Anthropic, authentification de l'API Claude, lu le 8 novembre 2026](https://platform.claude.com/docs/fr/manage-claude/authentication) enterprise - [Anthropic, Workspaces, lu le 8 novembre 2026](https://platform.claude.com/docs/en/manage-claude/workspaces) enterprise - [Aide Claude, bonnes pratiques des clés API (mise à jour le 12 mars 2026), lu le 8 novembre 2026](https://support.claude.com/fr/articles/9767949-bonnes-pratiques-des-cles-api-securiser-vos-cles) enterprise - [OpenAI, Managing projects in the API platform, lu le 8 novembre 2026](https://help-lb.openai.com/en/articles/9186755-managing-projects-in-the-api-platform) enterprise - [GitHub, corriger la fuite d'un secret, lu le 8 novembre 2026](https://docs.github.com/fr/code-security/secret-scanning/working-with-secret-scanning-and-push-protection/remediating-a-leaked-secret) enterprise - [GitGuardian, n8n encryption key compromise (5 août 2026), lu le 11 novembre 2026](https://blog.gitguardian.com/n8n-security-encryption-key-compromise/) research ## Classez vos tâches avant de choisir le premier cas Dix minutes, un classement par priorité en heures par mois : la grille vous le donne tout de suite, sans inscription. Vous pouvez ensuite la recevoir par e-mail pour la garder. [Classer mes tâches](/ressources/outils/grille-taches-a-automatiser) À lire ensuite [§ Blog · Automatisation ### n8n c'est quoi ? Définition, usages et limites pour une PME n8n c'est quoi : une plateforme d'automatisation de workflows, installable chez vous ou hébergée. Fonctionnement, exemple de PME, limites et coût. →](/blog/n8n-c-est-quoi)[§ Blog · Automatisation ### Trier ses e-mails entrants avec Claude et n8n Trier les e-mails entrants et préparer des brouillons avec Claude et n8n : architecture, garde-fous humains, injection de consignes et RGPD. →](/blog/trier-emails-entrant-claude-n8n)[§ Blog · Agents IA ### Sécuriser OpenClaw : 12 contrôles avant de le brancher à vos messageries Sécuriser OpenClaw : sandbox désactivé par défaut, security audit, appairage, modèle à un opérateur, Node corrigé, plugins. 12 contrôles vérifiables. →](/blog/securiser-openclaw-checklist) § Auteur [Simon BerosFondateur de Waimia · ingénieur IA et automatisation](/equipe/simon-beros) § Audit IA Ce que vous emportez : une cartographie écrite de vos tâches, avec les chantiers à lancer en premier. [Réserver l'audit gratuit →](/contact?offer=audit-ia-pme&intent=audit) ## Questions fréquentes Q.01 Où stocker une clé API dans n8n ? Dans un identifiant (credential) de n8n, y compris le type générique du nœud HTTP Request, jamais dans un nœud Code ni dans un champ de texte. n8n chiffre les identifiants avec une clé propre à l'instance. Si n8n est auto-hébergé, gardez une copie de cette clé hors du serveur, avec la sauvegarde : sans elle, une base restaurée ne sert à rien. Q.02 Peut-on partager une clé API sans la montrer à ses collègues ? Dans n8n, oui : un identifiant partagé en « Can use » s'utilise dans un workflow sans que le destinataire voie ni modifie ses détails. Les propriétaires et administrateurs de l'instance voient cependant tous les identifiants. Dans Make, tous les membres d'une équipe peuvent utiliser et gérer les connexions de cette équipe : rangez les connexions sensibles dans une équipe restreinte. Q.03 À quelle fréquence changer une clé API ? À date fixe, et tout de suite après une fuite ou le départ d'une personne qui y avait accès. Anthropic donne en exemple une rotation tous les 90 jours : créer la nouvelle clé, la brancher, vérifier, puis désactiver l'ancienne. Notez la date de la prochaine rotation dans l'inventaire des clés. Q.04 Que faire si une clé API a fuité ? Révoquez-la d'abord chez le fournisseur, remplacez-la dans l'outil, lisez les journaux d'appels et de dépense, et seulement ensuite nettoyez le code ou le document où elle traînait. GitHub précise que retirer le secret du code ne suffit pas à empêcher son exploitation. Q.05 Peut-on plafonner la dépense d'une clé API Claude ou OpenAI ? Chez Anthropic, oui, par un plafond de dépense mensuel sur un espace de travail, sauf l'espace par défaut. Chez OpenAI, le budget d'un projet est un seuil d'alerte : les requêtes continuent une fois le seuil dépassé. Une clé OpenAI qui fuit consomme donc jusqu'à sa révocation. Quelles tâches automatiser en premier chez vous ? L'audit gratuit de 45 minutes part de vos tâches réelles et dit par où commencer, ou s'il vaut mieux ne rien faire. [Réserver l'audit gratuit →](/contact?offer=audit-ia-pme&intent=audit) Explorer aussi ## Sur le même sujet Services - [Automatisation des processus](/services/automatisations) Guides et comparatifs - [Guide : quelles tâches automatiser d'abord](/ressources/guides/taches-a-automatiser-pme) Cas concrets - [Automatiser l'administratif](/cas-usages/standardiser-processus) - [IA et automatisation de la comptabilité](/cas-usages/finance-comptabilite) - [IA et automatisation des ressources humaines](/cas-usages/rh) À lire - [Claude Duet en France : accès et RGPD](/blog/claude-duet-france-acces-rgpd) - [ChatGPT dots : règles et approbations](/blog/chatgpt-dots-regles-personnalisees-approbations) - [Donner accès à un agent IA : identifiants et droits](/blog/acces-agent-ia-identifiants-pme)