Clés et secrets

Clés

La carte Keys liste les services connectés à votre compte, comme Stripe, OpenAI ou Shopify, que vos applications peuvent utiliser, avec un compteur. Elle affiche toutes les connexions activées sur le compte, pas seulement celles de cette application. Un clic ouvre Connecteurs, où vous les ajoutez une seule fois et choisissez quelles applications utilisent chacune.

Secrets

Des clés pour les services que l’application appelle et qui n’ont pas de connecteur : un service météo, des SMS, l’API d’un client. Cette page se trouve dans le menu sous Cloud, et demande quelqu’un qui peut modifier l’application. Cliquez sur Add secret, donnez-lui un nom et l’adresse du service, puis collez la clé.

• La clé est envoyée uniquement à cette adresse, jamais ailleurs, et ne se trouve jamais dans le code de l’application.
• Elle est stockée chiffrée. Une fois enregistrée, elle peut être remplacée ou supprimée, mais pas lue.
• Un changement s’applique immédiatement, dans l’aperçu comme dans l’application publiée, sans publier de nouveau.

Demandez ensuite à l’utiliser dans le chat, par son nom : « Affiche la météo à Paris avec WEATHER_KEY ». L’application écrit le nom à l’endroit où la clé doit aller, et Setherion met la clé en place à l’envoi. Chaque requête avec un secret utilise un crédit d’intégration. Les applications sur votre propre Supabase ne peuvent pas encore utiliser de secrets.

Règles d’un secret

• Le nom est composé de lettres majuscules, de chiffres et de tirets bas, commence par une lettre et compte de 2 à 64 caractères, comme WEATHER_KEY. Un nom qui contient une clé est refusé, tout comme un nom déjà utilisé : remplacez l’ancien depuis son menu.
• La valeur peut compter jusqu’à 4 096 caractères, et une application peut contenir 50 secrets.
• L’adresse du service doit être une adresse https publique. Les adresses IP, localhost, les ports et les noms privés sont refusés. Si vous collez un lien complet, seul son hôte est conservé.
• Une requête n’est envoyée que si son adresse est celle enregistrée avec le secret. Sinon, elle est refusée avec un message indiquant que le secret ne peut être envoyé qu’à cet hôte.
• La clé est retirée de la réponse avant que l’application ne la voie.
• Une requête attend jusqu’à 30 secondes, n’est pas redirigée, et la réponse peut atteindre 5 Mo.
• Un visiteur peut faire jusqu’à 600 requêtes de ce type par heure. Elles s’arrêtent pendant que le backend est en pause ou que l’allocation mensuelle est épuisée.
• Le tableau affiche le nom de chaque secret, l’adresse à laquelle il est envoyé et la date de sa mise à jour, avec Replace et Delete sur chaque ligne.