Guides

Comment éviter de coller des clés API et des mots de passe dans ChatGPT

Dernière mise à jour : 4 novembre 2026

Considérez que tout ce que vous collez dans ChatGPT, Claude ou Gemini quitte votre entreprise. Retirez les secrets avant de coller, remplacez-les par des jetons, changez toute clé déjà envoyée, et utilisez un outil qui vérifie le message dans votre navigateur avant l'envoi.

Pourquoi ça arrive

La plupart des fuites sont des accidents. Vous copiez une trace d'erreur qui contient une chaîne de connexion, un fichier de configuration avec un jeton, ou une ligne de journal avec le numéro de carte d'un client. Le champ du chat accepte tout, et le message part dès que vous appuyez sur Entrée.

Ce que ça peut coûter

• Une clé API envoyée doit être considérée comme compromise : quiconque peut lire la conversation peut s'en servir tant que vous ne l'avez pas révoquée.
• Les conversations peuvent être conservées par le service, relues pour des raisons de sécurité ou utilisées pour améliorer les modèles, selon votre offre et vos réglages.
• Les données personnelles (adresses e-mail, numéros de téléphone, coordonnées bancaires) relèvent du RGPD dès qu'elles sont envoyées à un tiers.

Quatre habitudes qui l'évitent

1. Remplacez les valeurs par des jetons. Écrivez [API_KEY_1] ou [EMAIL_1] au lieu de la vraie valeur. La réponse reste utile, car le modèle n'a besoin que de la forme du problème.
2. Collez le plus petit extrait possible. Les dix lignes autour de l'erreur, pas le fichier entier.
3. Gardez les secrets hors du presse-papiers. Lisez-les depuis un gestionnaire de mots de passe ou des variables d'environnement plutôt que de les copier partout.
4. Si une clé est partie, changez-la. Révoquez-la chez le fournisseur et créez-en une nouvelle. Supprimer la conversation ne suffit pas.

Laissez le navigateur vérifier pour vous

Les habitudes flanchent les jours chargés. PromptKit est une extension de navigateur qui vérifie ce que vous allez envoyer à ChatGPT, Claude et Gemini, sur votre appareil. Elle bloque par défaut les clés API, clés privées, numéros de carte, mots de passe, IBAN et numéros de sécurité sociale, et signale les adresses e-mail et numéros de téléphone. Un clic remplace chaque valeur par un jeton numéroté, et vous pouvez quand même envoyer votre question. Elle n'a pas de serveur et ne fait aucune requête réseau.

Essayez la démo sur l'accueil ou voyez tout ce qu'elle fait.

Les limites à garder en tête

Une détection par motifs ne reconnaît pas tous les secrets. Elle ne lit ni les images ni les PDF, et ne couvre pas les autres applications ni les appels d'API. Utilisez-la comme filet de sécurité, pas comme seule protection.