Sécuriser l'accès d'une IA à votre API
Mis à jour le 29 octobre 2026 · Publié le 24 octobre 2026
Pour sécuriser l'accès d'une IA à votre API, n'exposez que les outils dont elle a besoin, préférez ceux en lecture seule, donnez-lui un identifiant dédié aux droits minimaux, gardez la clé MCP secrète et surveillez le quota et le journal des appels.
1. Exposer peu d'outils, surtout en lecture seule
Voozeo qualifie chaque outil selon sa méthode HTTP :
| Type | Méthodes HTTP | Ce que le client d'IA reçoit |
|---|---|---|
| Lecture seule | GET, HEAD, OPTIONS | L'outil ne modifie pas de données |
| Écriture | POST, PUT, PATCH | L'outil modifie des données |
| Suppression | DELETE | L'outil est destructif |
Ces indications permettent aux clients de demander une confirmation avant un appel risqué. Allez plus loin : désactivez, dans l'onglet « Outils », tous les outils d'écriture ou de suppression dont votre cas d'usage n'a pas besoin. Une IA choisit mieux parmi dix outils clairs que parmi cinquante. Voir choisir et décrire les outils.
2. Donner à Voozeo un identifiant dédié
Dans l'onglet « API cible », Voozeo stocke un secret pour votre API : une clé d'API, un jeton Bearer ou un identifiant Basic. Créez un identifiant réservé à ce serveur, avec les droits minimaux, et ne réutilisez jamais un identifiant d'administrateur. S'il fuite, vous pouvez le révoquer sans toucher au reste. Si votre API prend en charge OAuth 2.0, préférez-le : chaque personne se connecte alors avec son propre compte et ses propres droits, et aucun identifiant partagé n'est stocké. Voir OAuth 2.0.
Le secret est stocké chiffré, en écriture seule, et n'est plus jamais affiché. L'IA ne le reçoit jamais. Voir API cible et authentification.
3. Protéger la clé MCP
La clé MCP identifie le client d'IA auprès de votre serveur. Elle commence par vz_ et n'est affichée qu'une seule fois.
- Rangez-la dans un gestionnaire de mots de passe, jamais dans un dépôt ni dans un message.
- Préférez l'URL avec la clé dans l'en-tête
Authorization(Claude Code, Cursor, VS Code). L'URL qui contient la clé (claude.ai, Claude Desktop, ChatGPT) est un secret elle aussi. - Utilisez un serveur distinct, donc une clé distincte, pour chaque cas d'usage.
- Si la clé est perdue ou fuite, régénérez-la : l'ancienne cesse immédiatement de fonctionner.
- Sur un serveur en OAuth 2.0, pas de clé : chaque IA se connecte, et « Révoquer toutes les autorisations » dans l'onglet « API cible » les déconnecte toutes. Voir autorisations actives.
Une clé absente ou fausse donne une erreur 401, et un serveur qui n'est pas « active » donne une erreur 403. Voir la clé MCP.
4. S'appuyer sur les limites intégrées
| Garde-fou | Effet |
|---|---|
| Quota | Les appels au-delà de la limite mensuelle de votre offre ne sont pas exécutés, et votre API n'est pas appelée. L'offre Gratuit comprend 1 000 appels par mois. |
| Serveur désactivé | L'interrupteur « Serveur activé » refuse aussitôt les appels de l'IA, et conserve vos sources, vos outils et votre clé. |
| Adresses privées refusées | Voozeo refuse les adresses privées et internes, pour l'URL d'une spec comme pour les appels d'outils (UNSAFE_URL). |
| Réponses tronquées | Une réponse de plus de 100 Ko est tronquée avant d'atteindre l'IA. |
Le propriétaire de l'espace est prévenu par email à 80 % et à 100 % du quota.
5. Considérer les documents comme non fiables
Si votre serveur contient aussi des documents, rappelez-vous qu'un document peut contenir des consignes. Voozeo transmet le texte à l'IA comme une donnée à consulter, pas comme des ordres. Malgré tout, n'envoyez pas de documents auxquels vous ne faites pas confiance, et n'exposez pas d'outils d'écriture sur un serveur qui lit des documents de sources extérieures.
6. Vérifier ce qui se passe
Chaque appel apparaît dans l'onglet « Journal » avec sa date, son outil, son statut, son code HTTP et sa durée. Par défaut, le journal n'enregistre jamais les arguments, les résultats, votre clé MCP ni les secrets de votre API : vous pouvez le consulter sans risque. Le mode diagnostic, facultatif et désactivé par défaut, conserve pendant 30 jours le contenu masqué des appels d'un serveur ; votre clé MCP et les en-têtes des requêtes ne sont jamais conservés. Le tableau de bord affiche les requêtes par jour, le taux d'erreur et les clients d'IA qui appellent votre serveur. Voir journal des appels.
Liste de contrôle
- Seuls les outils nécessaires sont activés, et la plupart sont en lecture seule.
- L'identifiant de l'API cible est dédié et a des droits minimaux.
- La clé MCP est dans un gestionnaire de mots de passe, pas dans un dépôt.
- Vous connaissez le quota de votre offre et le moment où les emails d'alerte sont envoyés.
- Vous consultez le journal après la première semaine.
Pour aller plus loin
- Qu'est-ce que MCP explique d'où viennent les risques.
- Erreurs et dépannage liste tous les messages que vous pouvez rencontrer.
- OpenAPI vers MCP décrit ce que Voozeo accepte.