Authentification

L'API Claude prend en charge trois méthodes d'authentification des requêtes :

Les clés API et Workload Identity Federation accordent le même accès aux points de terminaison de l'API Claude. Choisissez les clés API pour démarrer rapidement, puis passez à Workload Identity Federation lorsque votre charge de travail dispose déjà d'une identité émise par la plateforme que vous pouvez fédérer. Utilisez App Attest pour les applications iOS et macOS que vous distribuez aux utilisateurs finaux.



Clés API

Les clés API sont des secrets statiques que vous générez dans la Claude Console et que vous transmettez à chaque requête.

• Créer une clé : Accédez à Settings → API keys dans la Claude Console. Vous choisissez une expiration lors de la création. Utilisez les workspaces pour limiter la portée des clés par projet ou par environnement.
• Envoyer la clé : Définissez l'en-tête x-api-key sur les requêtes HTTP directes, ou définissez la variable d'environnement ANTHROPIC_API_KEY et les SDK clients la récupèrent automatiquement.

POST /v1/messages
x-api-key: YOUR_API_KEY
anthropic-version: 2023-06-01
content-type: application/json

Stockez les clés API dans un gestionnaire de secrets, effectuez une rotation périodique et révoquez toute clé que vous soupçonnez d'avoir fuité. Vous pouvez également définir une expiration lors de la création d'une clé afin de limiter la durée pendant laquelle un identifiant divulgué reste utilisable.

client = Anthropic(api_key="my-anthropic-api-key")
# ou, avec ANTHROPIC_API_KEY défini dans l'environnement :
client = Anthropic()



Expiration des clés

Lorsque vous créez une clé API depuis la page API keys dans la Claude Console, vous choisissez une expiration : une valeur prédéfinie (3 heures, 1 jour, 7 jours ou 30 jours), une durée personnalisée, ou Never pour les clés que vous stockez dans un gestionnaire de secrets et dont vous assurez vous-même la rotation. Si votre organisation a défini une politique d'expiration maximale, la Console limite les valeurs prédéfinies et les durées personnalisées au maximum autorisé par la politique, et l'option Never n'est pas disponible. Les clés existantes conservent leur comportement actuel ; l'expiration est définie au moment de la création et ne peut pas être modifiée par la suite. Le même choix d'expiration s'applique lorsque vous créez une clé Admin API dans la Claude Console.

Anthropic envoie un e-mail au créateur de la clé à l'approche de l'expiration : 7 jours avant l'expiration pour les clés créées avec une durée de vie d'au moins 14 jours, et 1 jour avant pour les clés ayant une durée de vie d'au moins 7 jours. Les clés ayant une durée de vie plus courte expirent sans e-mail d'avertissement.

Une fois qu'une clé a expiré, les requêtes effectuées avec celle-ci renvoient une erreur 401 authentication_error. Créez une nouvelle clé pour rétablir l'accès ; les clés expirées ne peuvent pas être réactivées.

Le tableau des clés API de la Console affiche l'expiration de chaque clé, et l'Admin API indique l'horodatage expires_at de chaque clé sur les points de terminaison List API Keys et Retrieve API Key, afin que vous puissiez auditer et effectuer la rotation des clés avant leur expiration. Le champ est null pour les clés sans expiration.

L'expiration limite la durée de vie d'un identifiant divulgué, mais elle ne remplace pas une bonne hygiène des secrets. Quelle que soit l'expiration, stockez les clés dans un gestionnaire de secrets et révoquez toute clé que vous soupçonnez d'avoir fuité.



Workload Identity Federation

« Workload Identity Federation » (fédération d'identité de charge de travail), ou WIF, permet à une charge de travail de s'authentifier avec un jeton d'identité de courte durée émis par un fournisseur d'identité (IdP) auquel vous faites déjà confiance, tel qu'AWS IAM, Google Cloud ou tout émetteur OIDC conforme aux normes (comme GitHub Actions, les comptes de service Kubernetes, SPIFFE, Microsoft Entra ID ou Okta). La charge de travail échange son JWT émis par l'IdP via POST /v1/oauth/token contre un jeton d'accès de courte durée à l'API Claude, et le SDK actualise automatiquement ce jeton avant son expiration. Il n'y a aucune chaîne sk-ant-api... à générer, distribuer ou faire tourner.

La fédération supprime les clés API Claude à longue durée de vie de votre environnement, ce qui réduit le rayon d'impact d'un identifiant divulgué et vous permet de gérer l'accès avec les mêmes contrôles IdP que vous utilisez déjà pour les ressources cloud. Elle ne garantit pas, à elle seule, une sécurité de bout en bout : la chaîne de confiance n'est aussi solide que la configuration de votre fournisseur d'identité, et un secret à longue durée de vie situé un niveau en amont (par exemple, un identifiant cloud statique capable de générer des jetons IdP) peut toujours la compromettre. Associez la fédération aux contrôles de votre fournisseur, tels que les listes d'adresses IP autorisées, l'authentification multifacteur (MFA) et la journalisation d'audit.

Pour configurer la fédération, vous créez trois ressources dans la Claude Console (un compte de service, un émetteur de fédération et une règle de fédération), puis vous pointez votre SDK vers la règle. Consultez Workload Identity Federation pour la procédure de configuration complète.



App Attest

App Attest authentifie les applications iOS et macOS qui appellent l'API Claude directement depuis l'appareil. Chaque installation prouve qu'il s'agit d'une version authentique et non modifiée d'une application que vous avez enregistrée dans la Claude Console, en utilisant le service App Attest d'Apple. Anthropic délivre ensuite à l'appareil un jeton d'accès de courte durée qui facture l'utilisation à votre workspace. Les jetons sont limités à votre workspace, expirent après une heure et n'autorisent que les appels à l'API Messages.

Pour enregistrer votre application et obtenir un ID client, consultez App Attest pour les applications iOS et macOS.



Étapes suivantes