Clés API et sécurité

Fonctionnement des clés API

Lorsque vous créez une clé API dans Settings → MCP / API, Clarity :

1. 1Génère 32 octets aléatoires cryptographiquement sûrs à l'aide de Node.js crypto.randomBytes
2. 2Les encode en une chaîne base64url avec le préfixe sk_clarity_
3. 3Calcule un hachage SHA-256 de la clé complète
4. 4Stocke uniquement le hachage dans la base de données
5. 5Vous renvoie la clé en clair une seule et unique fois

Flux d'authentification

Chaque requête API MCP suit ce chemin :

1. 1Votre client IA envoie la clé en clair dans l'en-tête Authorization: Bearer
2. 2L'API Clarity hache la clé entrante avec SHA-256
3. 3Elle compare le hachage en utilisant une comparaison à temps constant (crypto.timingSafeEqual)
4. 4En cas de correspondance, elle extrait le user_id associé et poursuit le traitement

Vérification de propriété

Bonnes pratiques de gestion des clés

• Utilisez des libellés descriptifs — nommez les clés d'après le client
• Une clé par client — ne réutilisez pas les clés entre les machines
• Effectuez une rotation périodique — générez une nouvelle clé tous les quelques mois
• Ne committez jamais les clés — ajoutez votre configuration MCP au .gitignore

Limites des clés

Ce que MCP peut et ne peut pas faire

MCP peut :

• Lister tous vos projets et parcourir les arborescences de fichiers
• Lire, écrire, créer et supprimer des fichiers
• Compiler des documents LaTeX et Typst
• Déboguer les erreurs de compilation
• Rechercher dans la documentation Typst
• Générer des illustrations TikZ

MCP ne peut pas :

• Créer ou supprimer des projets entiers
• Supprimer le fichier d'entrée principal
• Supprimer des dossiers non vides
• Téléverser des fichiers binaires
• Accéder aux données d'autres utilisateurs
• Modifier les paramètres du compte
• Accéder aux informations de facturation
• Contourner la vérification de propriété

Piste d'audit

Chaque fois que votre clé API est utilisée, Clarity met à jour l'horodatage Dernière utilisation visible dans Settings → MCP / API.