---
title: "Appeler Claude ou GPT sans exposer la clé, avec while.sh"
url: https://while.sh/fr/guides/ia-sans-exposer-la-cle/
author: "Aloïs Oddon, cofondateur de Nextmap"
updated: 2026-11-02
---

# Appeler Claude, GPT ou Mistral depuis votre appli sans exposer la clé, depuis votre agent IA

Votre appli parle à une IA, et sa clé coûte cher si elle fuit. Avec while, votre appli appelle Claude, GPT ou Mistral sans jamais tenir la clé, chaque appel est noté, et votre agent IA branche le tout par MCP.

## Prérequis

- Une appli, en ligne sur while ou prête à l'être.
- La clé de votre fournisseur d'IA : Anthropic, OpenAI ou Mistral.
- Un agent IA qui travaille dans un terminal : Claude Code, Codex, Cursor ou Gemini CLI.

## Étape 1 : Donnez ces instructions à votre agent

Ouvrez votre agent dans le dossier de votre appli, et collez-lui ces instructions :

```text titre="Instructions"
Connecte-toi à while avec mon compte (while.sh/agents), puis mets mon appli en ligne.
```

Votre agent ajoute lui-même le serveur MCP de while. S'il vous le demande, relancez-le. Au premier appel à while, une page s'ouvre dans votre navigateur. Dans Claude Code, si elle ne s'ouvre pas, tapez /mcp, choisissez while, puis Authenticate. Sur cette page, choisissez « Une nouvelle appli », puis cliquez sur Autoriser.

## Étape 2 : Collez la clé dans while

Votre agent déclare la connexion à Anthropic et vous donne un lien. Vous l'ouvrez, collez la clé et validez. Votre agent ne la voit jamais.

## Ce que fait votre agent

Il ajoute la connexion au service, dans while.yaml :

```yaml titre="while.yaml"
services:
  - name: web
    port: 3000
    connections: [anthropic]
```

Votre appli reçoit l'adresse d'Anthropic chez while dans `ANTHROPIC_URL`, et appelle l'API Messages sans clé (source 1) :

```js titre="server.js"
const r = await fetch(`${process.env.ANTHROPIC_URL}/v1/messages`, {
  method: 'POST',
  headers: { 'content-type': 'application/json' },
  body: JSON.stringify({
    model: 'claude-sonnet-5-5',
    max_tokens: 1024,
    messages: [{ role: 'user', content: question }],
  }),
});
```

La clé et l'en-tête de version s'ajoutent à chaque appel, qui est noté. Les appels à Claude passent dès le premier jour, sans période d'apprentissage.

## Changer de modèle

> Vous, à votre agent : Passe le résumé sur Claude Haiku, pour payer moins.

Votre agent change le modèle dans votre code et remet en ligne. La clé, elle, ne bouge pas.

## Changer la clé

> Vous, à votre agent : Il faut changer la clé d'Anthropic.

Vous collez la nouvelle clé dans while, et votre appli s'en sert dès l'appel suivant, sans nouvelle mise en ligne.

## Voir les appels de votre appli

> Vous, à votre agent : Pourquoi les résumés ont échoué cette nuit ?

Votre agent lit le dernier appel et les refus de la connexion dans while, et corrige.

## Ajouter un second fournisseur

> Vous, à votre agent : Branche aussi Mistral, en secours.

Votre agent déclare une seconde connexion et l'ajoute à while.yaml, vous collez sa clé dans while, et votre appli reçoit `MISTRAL_URL`. L'offre Pro branche jusqu'à 25 API à clé.

## Revenir à la version d'avant

> Vous, à votre agent : Reviens à la version d'avant.

Dans les 30 minutes qui suivent une mise en ligne, la version d'avant revient en une seconde. Ensuite, en quelques secondes. Une fois la version d'avant revenue, votre agent lit ce qui a cassé dans les journaux de while, corrige et remet en ligne.

## Prochaines étapes

- [Brancher Stripe ou Brevo sans clé dans le code](/fr/guides/api-sans-cle-dans-le-code/)
- [Mettre en ligne un artefact Claude](/fr/guides/artefact-claude-en-ligne/)
- [La sécurité de while](/fr/securite/)

## Sources

1. [Anthropic, l'API Messages](https://platform.claude.com/docs/en/api/messages), 2026-11-02

## Questions

### Mon agent peut-il voir la clé ?

Non. Vous la saisissez dans while, jamais dans votre agent ni dans votre code, et elle s'ajoute à chaque appel.

### Quels fournisseurs marchent ?

Anthropic, OpenAI et Mistral, et toute autre API HTTP avec sa clé.

### Faut-il changer mon code ?

Presque pas : votre appli appelle l'adresse reçue dans ANTHROPIC_URL au lieu de celle d'Anthropic, et n'envoie plus de clé.

### Et si quelqu'un vole le code de mon appli ?

La clé n'y est pas : il ne peut pas s'en servir ailleurs.