Brancher Stripe, Brevo ou toute API à votre appli sans clé dans le code, depuis votre agent IA
Une clé d’API dans le code finit toujours par fuiter : dans un dépôt, un journal, une conversation avec votre agent. Avec while, votre appli appelle Stripe ou Brevo sans jamais tenir la clé, et chaque appel est noté.
Par Aloïs Oddon, cofondateur de Nextmap. Faits relevés le 2 novembre 2026.
Prérequis
- Une appli, en ligne sur while ou prête à l’être.
- La clé de l’API à brancher, de Stripe ou de Brevo par exemple.
- Un agent IA qui travaille dans un terminal : Claude Code, Codex, Cursor ou Gemini CLI.
Étape 1 : Donnez ces instructions à votre agent
Ouvrez votre agent dans le dossier de votre appli, et collez-lui ces instructions :
Connecte-toi à while avec mon compte (while.sh/agents), puis mets mon appli en ligne.Votre agent ajoute lui-même le serveur MCP de while. S’il vous le demande, relancez-le. Au premier appel à while, une page s’ouvre dans votre navigateur. Dans Claude Code, si elle ne s’ouvre pas, tapez /mcp, choisissez while, puis Authenticate. Sur cette page, choisissez « Une nouvelle appli », puis cliquez sur Autoriser.
Étape 2 : Collez la clé dans while
Votre agent déclare la connexion à Stripe et vous donne un lien. Vous l’ouvrez, collez la clé de Stripe et validez. Votre agent ne la voit jamais1.
Ce que fait votre agent
Il ajoute la connexion au service, dans while.yaml :
services:
- name: web
port: 3000
connections: [stripe]Votre appli reçoit l’adresse de Stripe chez while dans STRIPE_URL, et l’appelle sans clé :
const r = await fetch(`${process.env.STRIPE_URL}/v1/balance`);
const solde = await r.json();La clé s’ajoute à chaque appel, qui est noté. Les 7 premiers jours, les lectures passent et servent à apprendre ce que votre appli appelle. Une écriture, comme un paiement ou un envoi d’e-mail, passe dès que vous validez sa règle. Ensuite, un appel inattendu est refusé, et votre agent est prévenu.
Autoriser un nouvel appel
Vous, à votre agent : Autorise la création de clients chez Stripe.
Votre agent propose la règle, et vous la validez dans while. Votre appli crée ensuite ses clients, et ce que vous n’avez pas autorisé reste refusé.
Demander votre accord avant un appel sensible
Vous, à votre agent : Demande-moi avant chaque remboursement.
Votre agent pose une règle sur les remboursements : chacun attend votre accord dans while avant de partir chez Stripe.
Changer la clé
Vous, à votre agent : Il faut changer la clé de Brevo.
Vous collez la nouvelle clé dans while, et votre appli s’en sert dès l’appel suivant, sans nouvelle mise en ligne.
Voir les appels de votre appli
Vous, à votre agent : Pourquoi l’envoi d’e-mails a échoué hier ?
Votre agent lit le dernier appel et les refus de la connexion à Brevo dans while, et corrige.
Brancher Google sans clé à garder
Vous, à votre agent : Branche Google Sheets à notre appli.
Votre agent déclare la connexion à Google. Selon votre choix, la clé d’un compte de service reste dans while, ou il n’y a plus de clé du tout : des jetons de courte durée, signés pour votre appli, que Google échange.
Revenir à la version d’avant
Vous, à votre agent : Reviens à la version d’avant.
Dans les 30 minutes qui suivent une mise en ligne, la version d’avant revient en une seconde. Ensuite, en quelques secondes. Une fois la version d’avant revenue, votre agent lit ce qui a cassé dans les journaux de while, corrige et remet en ligne.
Dans la doc : Sorties réseau, Connexions aux API et Versions et retour arrière.
Prochaines étapes
Sources
- Stripe, garder ses clés d’API en sécurité, consulté le 2 novembre 2026