---
title: "Appeler Stripe ou Brevo sans clé dans le code, avec while.sh"
url: https://while.sh/fr/guides/api-sans-cle-dans-le-code/
author: "Aloïs Oddon, cofondateur de Nextmap"
updated: 2026-11-02
---

# Brancher Stripe, Brevo ou toute API à votre appli sans clé dans le code, depuis votre agent IA

Une clé d'API dans le code finit toujours par fuiter : dans un dépôt, un journal, une conversation avec votre agent. Avec while, votre appli appelle Stripe ou Brevo sans jamais tenir la clé, et chaque appel est noté.

## Prérequis

- Une appli, en ligne sur while ou prête à l'être.
- La clé de l'API à brancher, de Stripe ou de Brevo par exemple.
- Un agent IA qui travaille dans un terminal : Claude Code, Codex, Cursor ou Gemini CLI.

## Étape 1 : Donnez ces instructions à votre agent

Ouvrez votre agent dans le dossier de votre appli, et collez-lui ces instructions :

```text titre="Instructions"
Connecte-toi à while avec mon compte (while.sh/agents), puis mets mon appli en ligne.
```

Votre agent ajoute lui-même le serveur MCP de while. S'il vous le demande, relancez-le. Au premier appel à while, une page s'ouvre dans votre navigateur. Dans Claude Code, si elle ne s'ouvre pas, tapez /mcp, choisissez while, puis Authenticate. Sur cette page, choisissez « Une nouvelle appli », puis cliquez sur Autoriser.

## Étape 2 : Collez la clé dans while

Votre agent déclare la connexion à Stripe et vous donne un lien. Vous l'ouvrez, collez la clé de Stripe et validez. Votre agent ne la voit jamais (source 1).

## Ce que fait votre agent

Il ajoute la connexion au service, dans while.yaml :

```yaml titre="while.yaml"
services:
  - name: web
    port: 3000
    connections: [stripe]
```

Votre appli reçoit l'adresse de Stripe chez while dans `STRIPE_URL`, et l'appelle sans clé :

```js titre="server.js"
const r = await fetch(`${process.env.STRIPE_URL}/v1/balance`);
const solde = await r.json();
```

La clé s'ajoute à chaque appel, qui est noté. Les 7 premiers jours, les lectures passent et servent à apprendre ce que votre appli appelle. Une écriture, comme un paiement ou un envoi d'e-mail, passe dès que vous validez sa règle. Ensuite, un appel inattendu est refusé, et votre agent est prévenu.

## Autoriser un nouvel appel

> Vous, à votre agent : Autorise la création de clients chez Stripe.

Votre agent propose la règle, et vous la validez dans while. Votre appli crée ensuite ses clients, et ce que vous n'avez pas autorisé reste refusé.

## Demander votre accord avant un appel sensible

> Vous, à votre agent : Demande-moi avant chaque remboursement.

Votre agent pose une règle sur les remboursements : chacun attend votre accord dans while avant de partir chez Stripe.

## Changer la clé

> Vous, à votre agent : Il faut changer la clé de Brevo.

Vous collez la nouvelle clé dans while, et votre appli s'en sert dès l'appel suivant, sans nouvelle mise en ligne.

## Voir les appels de votre appli

> Vous, à votre agent : Pourquoi l'envoi d'e-mails a échoué hier ?

Votre agent lit le dernier appel et les refus de la connexion à Brevo dans while, et corrige.

## Brancher Google sans clé à garder

> Vous, à votre agent : Branche Google Sheets à notre appli.

Votre agent déclare la connexion à Google. Selon votre choix, la clé d'un compte de service reste dans while, ou il n'y a plus de clé du tout : des jetons de courte durée, signés pour votre appli, que Google échange.

## Revenir à la version d'avant

> Vous, à votre agent : Reviens à la version d'avant.

Dans les 30 minutes qui suivent une mise en ligne, la version d'avant revient en une seconde. Ensuite, en quelques secondes. Une fois la version d'avant revenue, votre agent lit ce qui a cassé dans les journaux de while, corrige et remet en ligne.

## Prochaines étapes

- [Appeler Claude ou GPT depuis votre appli sans exposer la clé](/fr/guides/ia-sans-exposer-la-cle/)
- [Mettre en ligne une API Node.js et sa base PostgreSQL](/fr/guides/api-node-postgresql/)
- [La sécurité de while](/fr/securite/)

## Sources

1. [Stripe, garder ses clés d'API en sécurité](https://docs.stripe.com/keys), 2026-11-02

## Questions

### Mon agent peut-il voir la clé ?

Non. Vous la saisissez dans while, jamais dans votre agent ni dans votre code, et elle s'ajoute à chaque appel.

### Faut-il changer mon code ?

Presque pas : votre appli appelle l'adresse reçue dans STRIPE_URL au lieu de celle de Stripe, et n'envoie plus de clé.

### Quelles API marchent ?

Toute API HTTP : une clé dans un en-tête ou dans l'adresse, Basic, Bearer, OAuth2, ou un jeton signé, comme pour Google, Salesforce ou Microsoft.

### Et si mon appli est piratée ?

La clé n'y est pas : elle ne fuit pas avec le code. Et rien ne passe en dehors des appels que votre appli fait d'habitude.

### Combien d'API puis-je brancher ?

Une API à clé avec l'offre Libre, et 25 avec l'offre Pro.