Secrets et variables d'environnement sans coller vos clés dans le chat

La plupart des vraies applications ont besoin d'au moins un secret : la clé d'un fournisseur de paiement, celle d'un service d'e-mail, ou une clé pour une API d'IA. Dans Mythex, vous ne collez pas ces clés dans un prompt. Quand l'agent en a besoin, il affiche une carte de demande de secret dans le chat, vous saisissez la valeur dans la carte, et elle est enregistrée comme secret du projet que votre application peut lire, sans que la clé n'apparaisse dans la conversation.

Ce que ça fait

Chaque projet Mythex peut stocker des variables d'environnement : des valeurs nommées, comme STRIPE_SECRET_KEY, que votre application lit à l'exécution au lieu de les avoir écrites dans le code. Les secrets sont des variables d'environnement dont la valeur doit rester privée.

Les mêmes valeurs sont disponibles à deux endroits :

• Le bac à sable, où l'agent construit et exécute votre application pendant que vous travaillez.
• Vos déploiements publiés, que vos visiteurs utilisent.

Il existe trois façons de les ajouter :

1. La carte de demande de secret, que l'agent affiche dans le chat quand il a besoin d'une clé pour terminer une tâche.
2. Paramètres du projet → Secrets, où vous pouvez ajouter ou modifier des valeurs à tout moment.
3. /secrets dans le chat, pour ajouter ou mettre à jour des secrets sur demande.

Pourquoi c'est utile

La façon la plus évidente de donner une clé à un agent IA est de la coller dans votre message. Cela fonctionne, mais la clé fait alors partie de l'historique de votre chat, en clair, à côté de tout le reste de ce que vous avez écrit.

La carte de secret garde la valeur hors de la transcription. Vous la saisissez dans les champs de la carte, et non dans la zone de message, et elle est enregistrée comme secret du projet. L'agent poursuit son travail avec la clé disponible dans le bac à sable.

Garder les clés dans les paramètres du projet plutôt que dans le code présente d'autres avantages :

• Les clés restent hors du contrôle de version. Votre code fait référence à une clé par son nom ; la valeur est stockée dans les paramètres du projet.
• L'agent et votre application en cours d'exécution voient la même configuration. Pas de copie qui se désynchronise.
• Vous pouvez changer une clé sans réécrire le code. Modifiez la valeur dans les paramètres ; le code la lit toujours par son nom.

Si les variables d'environnement sont nouvelles pour vous, notre guide sur ce que sont les variables d'environnement et les secrets explique cette notion depuis le début.

Comment utiliser la carte de secret

1. Demandez la fonctionnalité — par exemple, « envoyer un e-mail de bienvenue quand quelqu'un s'inscrit ».
2. Quand l'agent a besoin d'une clé, une carte de demande de secret apparaît dans le chat, avec la valeur dont il a besoin.
3. Saisissez la valeur dans les champs de la carte, et non dans la zone de message.
4. Confirmez. La valeur est enregistrée comme secret du projet.
5. L'agent continue, avec la clé disponible dans le bac à sable.

Comment ajouter vous-même des secrets

1. Ouvrez les paramètres du projet, puis Secrets.
2. Ajoutez des clés comme STRIPE_SECRET_KEY, OPENAI_API_KEY, ou les identifiants de votre propre service.
3. Demandez à l'agent de les lire selon la méthode standard de votre framework — par exemple depuis process.env dans une application Node.
4. Republiez si une application publiée a besoin des nouvelles valeurs.

Vous pouvez aussi taper /secrets dans le chat pour les ajouter ou les mettre à jour à cet endroit.

Modifier un secret sur une application publiée

Une application publiée récupère les secrets au moment de sa publication. Après avoir ajouté ou modifié un secret, publiez à nouveau pour que le déploiement en ligne reçoive la nouvelle valeur. Jusque-là, les visiteurs utilisent toujours l'application avec l'ancienne configuration.

Conseils de sécurité

• Ne versionnez jamais de secrets dans le dépôt. Gardez-les dans les paramètres du projet.
• Préférez les clés réservées au serveur pour les opérations sensibles. Une clé capable de débiter des cartes ou d'envoyer des e-mails doit rester dans du code exécuté côté serveur, jamais dans quelque chose que le navigateur d'un visiteur télécharge.
• Si une clé apparaît jamais dans l'historique du chat, changez-la. Créez une nouvelle clé chez le fournisseur, révoquez l'ancienne, et mettez à jour la valeur dans les paramètres du projet. Considérez toute clé collée dans un chat comme exposée.

Limites

• La carte n'aide que si vous l'utilisez. Si vous collez quand même une clé dans la zone de message, elle se retrouve dans la transcription. Changez-la chez le fournisseur et mettez à jour la valeur enregistrée.
• Les applications publiées doivent être republiées pour récupérer les secrets nouveaux ou modifiés.
• Stocker une clé en toute sécurité ne rend pas toutes ses utilisations sûres. L'endroit où la clé est utilisée compte toujours — gardez les clés sensibles côté serveur de votre application.

Pour en savoir plus sur la sécurisation d'une application avant de la partager, consultez notre liste de contrôle de sécurité pour les applications créées avec l'IA.

La documentation contient les détails : Variables d'environnement et secrets et Secrets dans le chat.