Clé de session Claude : risques et révocation de l’accès

Si une extension ou un vendeur d’abonnements vous demande une chaîne qui commence par sk-ant-sid, ne la lui donnez pas. Cette chaîne s’appelle une clé de session. Ce n’est pas un mot de passe : c’est déjà une porte ouverte sur votre compte. Avec cette clé, quelqu’un peut lire toutes vos conversations et tous vos fichiers, sans qu’on lui demande un deuxième facteur. Vous pouvez révoquer la session concernée dans Active sessions. Si vous n’identifiez pas la session divulguée, utilisez « Log Out » à l’échelle du compte ; cela vous déconnecte aussi.

Vous l’avez déjà donnée ? Allez directement à la section expliquant comment mettre fin à l’accès. Les deux premières étapes prennent une minute.

Voici ce qu’est cette chaîne, ce que la personne de l’autre côté peut voir et pourquoi les règles d’Anthropic considèrent sa transmission comme une violation. Cet article n’explique pas comment extraire la clé : au lieu de donner des instructions comme « appuyez sur F12 et copiez », il examine les conséquences de l’accès que vous accordez à quelqu’un.

Vous trouverez dans la documentation des informations pratiques sur l’utilisation d’Ailoot.

Qu’est-ce qu’une clé de session Claude ?#

Lorsque vous saisissez votre adresse e-mail et le code reçu dans un message, le service vérifie votre identité une fois. Le résultat de cette vérification doit être conservé quelque part, sinon vous devriez confirmer votre identité à chaque clic. Votre navigateur le stocke dans un petit fichier qu’il envoie automatiquement au serveur avec chacune de vos actions sur le site.

Claude utilise un fichier nommé sessionKey. Anthropic le répertorie dans son tableau public des cookies :

Le même tableau répertorie plusieurs autres cookies de service à courte durée de vie, mais c’est celui-ci que les gens demandent. Anthropic décrit ainsi cette catégorie :

Vous ne pouvez pas le désactiver, car sans ce fichier il n’y a pas de connexion. Sa valeur ressemble à une longue chaîne commençant par sk-ant-sid. Si quelqu’un vous demande « une chaîne qui commence par sk-ant-sid », c’est exactement à cela qu’il fait référence.

Une précision sur la durée, pour éviter toute confusion par la suite. Le tableau indique un mois pour le fichier lui-même, tandis que la session dure 28 jours et que chaque heure passée à faire quelque chose sur claude.ai remet le compteur à zéro. En pratique, c’est simple : la clé que vous transmettez aujourd’hui fonctionnera pendant des semaines, et votre propre activité repoussera encore son expiration.

Dans cet article, « clé de session » et « jeton de session » désignent la même chose.

En quoi une clé de session diffère-t-elle d’un mot de passe et d’une clé API ?#

Ce sont trois choses différentes que l’on confond souvent sous l’expression « accès au compte » :

La différence entre les deux premières colonnes ressemble à celle entre un passeport et un bracelet tout compris. Vous présentez votre passeport à la réception ; après l’avoir vérifié, on vous remet le bracelet. Si vous donnez le bracelet à quelqu’un d’autre, cette personne peut manger, boire et entrer dans votre chambre sans que personne lui demande son passeport. Remplacer un passeport perdu ne fait pas disparaître le bracelet que porte quelqu’un d’autre.

Une clé de session fonctionne de la même façon. Il n’est pas nécessaire de remplacer manuellement le cookie : terminez la session concernée dans Active sessions. Si vous ne l’identifiez pas avec certitude, fermez toutes les sessions, y compris les vôtres.

Pourquoi les extensions et les services demandent-ils cette clé ?#

Voici deux exemples réels. Nous ne mettons pas de liens vers ces offres pour ne pas leur envoyer de trafic.

Les vendeurs d’abonnements. Cela ressemble à un service : vous payez moins que le prix officiel, transmettez votre clé et ils « activent » Pro ou Max sur votre propre compte. Une annonce de ce type était en vente sur une grande place de marché de produits numériques le 19 août 2026. Ses conditions indiquent qu’une clé de session suffit, et une ligne distincte rassure les lecteurs en précisant qu’il ne leur faudra ni votre mot de passe ni l’accès à votre e-mail. L’annonce avait été vendue plus de cent fois, avec 38 remboursements, et le vendeur déclinait à l’avance, dans une ligne séparée, toute responsabilité en cas d’éventuelle suspension du compte.

Les instructions en russe d’un autre service de ce type se terminent par deux demandes qui reviennent au même : ne vous déconnectez pas de votre compte Claude tant que la commande n’est pas terminée et restez connecté jusqu’à la fin de l’activation. La déconnexion met fin à la session et rend inutile la clé que vous avez transmise. Le service le sait et vous demande de ne pas le faire. Les instructions ne disent rien sur ce qu’il advient de la clé une fois « l’activation terminée ».

Les programmes tiers qui utilisent Claude sur le Web. claude.ai possède des points de terminaison internes que la page appelle elle-même pendant que vous l’utilisez. Si quelqu’un associe à une telle requête le cookie d’une autre personne, il peut faire passer son activité par un abonnement plutôt que de payer l’accès à l’API. Des bibliothèques permettant de le faire sont accessibles au public ; les plus populaires approchent les mille étoiles sur GitHub, et leurs instructions ne comportent qu’une seule étape concernant la clé. Un projet conserve toute une collection de cookies appartenant à d’autres personnes et passe de l’un à l’autre, avec un statut « bloqué » pour les clés de la collection : ses auteurs savent à l’avance que certains des comptes qui leur sont confiés seront désactivés et ont prévu ce cas dans le programme.

Compteurs d’utilisation, exportations de conversations, intégrations. Cette catégorie ne vous demande généralement pas de coller quoi que ce soit, car l’extension fonctionne dans votre navigateur et récupère le cookie qui s’y trouve déjà. La seule différence avec les deux premières catégories, c’est que le programme auquel vous avez accordé une autorisation appuie sur le bouton de copie à votre place.

La quatrième catégorie vole la clé. Les fausses pages d’installation, les programmes qui effacent tout ce qui est enregistré dans votre navigateur et les extensions qui changent après un transfert de propriété sont traités séparément ci-dessous.

Que peut voir quelqu’un qui possède votre clé ?#

La clé de session est liée à votre compte tout entier ; elle ne concerne pas une conversation précise. Elle ouvre donc le compte complet :

• Conversations. Toutes les conversations, y compris les versions précédentes des réponses masquées sous les flèches dans l’interface.
• Fichiers. Contrats, exportations de bases de données, modèles financiers, captures d’écran — tout ce que vous avez déjà fait glisser dans un chat ou placé dans un Project.
• Mémoire et instructions personnalisées. Ce que vous avez raconté à Claude sur vous et votre travail pour ne pas avoir à le répéter à chaque fois.
• Adresse e-mail et formule du compte. L’autre personne peut les consulter sur la page des paramètres, tout comme vous.
• Limites d’utilisation restantes et montant supplémentaire que vous pouvez dépenser. Ce sont généralement les informations que les compteurs sont conçus pour afficher.
• Autorisation d’agir. Cette personne peut envoyer des requêtes, supprimer des conversations et modifier des paramètres.

L’interface de Claude n’affiche pas les coordonnées complètes de la carte, votre carte ne sera donc pas volée. Mais votre abonnement se trouve dans le même compte auquel quelqu’un d’autre s’est déjà connecté, et il peut être résilié à l’aide du bouton habituel dans les paramètres.

Les conversations supprimées disparaissent immédiatement de l’historique et sont effacées du stockage d’Anthropic sous trente jours. La durée pendant laquelle quelqu’un d’autre peut lire vos conversations dépend de la durée de vie de la clé de session ; effacer les chats n’a aucun effet sur celle-ci.

Il vaut mieux conserver les connaissances professionnelles dans des fichiers de projet : vous pouvez les consulter et les modifier, et la perte d’une session ne les efface pas.

Pourquoi est-ce plus dangereux qu’un mot de passe volé ?#

Dire que « l’extension contourne la protection à deux facteurs » paraît dramatique et n’est pas exact. L’extension intervient après la vérification du mot de passe, la saisie du code envoyé par e-mail et l’émission d’une confirmation par le serveur. C’est cette confirmation qui est dérobée.

La deuxième propriété est la durée. Tant que la session est active, la clé fonctionne et vous pouvez continuer à utiliser votre compte comme d’habitude, prolongeant l’accès de quelqu’un d’autre à chacune de vos visites.

Le troisième point concerne l’indicateur HttpOnly. Il est considéré comme la principale protection d’une session et empêche effectivement les scripts propres à la page d’accéder au cookie. Mais les extensions peuvent le lire grâce à leur propre mécanisme distinct. La description de ce mécanisme dans le projet Chromium indique :

La documentation actuelle de Chrome le confirme indirectement : une extension reçoit un objet cookie doté d’une propriété httpOnly, ce qui signifie qu’elle peut également voir ces cookies.

Bien sûr, toutes les autres extensions ne volent pas les cookies. C’est simplement que le fait d’être « disponible dans le magasin et très bien notée » ne garantit plus rien. Faites donc attention à la liste des autorisations.

Que disent les règles de Claude à ce sujet ?#

Voici le texte exact de la section 2 des Conditions d’utilisation destinées aux consommateurs d’Anthropic :

La transmission d’une clé de session relève directement de cette disposition. La même section précise que le titulaire du compte est responsable de toutes les activités effectuées sous ce compte et doit immédiatement signaler tout accès non autorisé à l’assistance. La section 3 interdit séparément l’accès au service « par des moyens automatisés ou non humains, que ce soit au moyen d’un bot, d’un script ou autrement » s’il ne passe pas par une clé API. La section 13 donne à Anthropic le droit de suspendre ou de résilier l’accès à tout moment et sans préavis si l’entreprise estime que les conditions ont été violées de manière substantielle. Transmettre une seule clé touche à ces trois dispositions à la fois.

La documentation de Claude Code dit ceci au sujet des programmes tiers :

Une précision sur ce qui est affirmé ici : aucune déclaration publique d’Anthropic disant « nous bannissons les personnes qui partagent sessionKey » n’a été trouvée. L’article n’attribue donc pas cette formulation à l’entreprise. Les documents montrent que les règles l’interdisent explicitement, que le titulaire du compte en est responsable et que l’accès peut être désactivé sans préavis. Il existe aussi des signes indirects : les programmes tiers proposent « bloqué » comme statut courant d’une clé.

Il existe également une deuxième interdiction. Les règles d’utilisation interdisent de contourner un blocage en passant par un autre compte et de donner accès à une personne qui a déjà été désactivée. Si quelqu’un a acheté votre clé dans ce but, la violation sera imputée à votre compte. Les autres raisons pour lesquelles Anthropic ferme l’accès sont réunies dans l’article expliquant pourquoi des comptes Claude sont bannis.

Comment vérifier une extension avant et après son installation ?#

Ce que vous pouvez voir avant l’installation. La fiche du magasin comporte une section sur la confidentialité qui indique quelles données l’extension collecte et partage. Le deuxième indice est la façon dont vous l’avez trouvée. Si l’extension est introuvable dans les résultats de recherche du magasin et ne peut être installée qu’à partir d’un lien direct envoyé par quelqu’un d’autre, considérez-le comme un signal d’alerte.

Ce qu’il faut vérifier parmi les extensions déjà installées. Suivez aujourd’hui ces cinq étapes pour toute la liste.

1. Ouvrez la liste des extensions et vérifiez les autorisations

   L’adresse est chrome://extensions ; cliquez sur « Détails » pour l’extension concernée. Dans Edge, l’adresse est edge://extensions. Arc et les autres navigateurs reposant sur le même moteur utilisent également l’adresse chrome://extensions.

2. Cherchez une ligne mentionnant claude.ai

   Chrome n’affiche pas d’avertissement distinct concernant l’accès aux cookies ; consultez donc la liste des sites. Une ligne comme « Lire et modifier vos données sur claude.ai » signifie que l’extension fonctionne à l’intérieur de votre session Claude. C’est normal pour un compteur d’utilisation. Ce ne l’est pas pour une extension sans rapport avec Claude.

3. Vérifiez si l’accès à tous les sites est autorisé

   La section « Accès aux sites » peut indiquer « Sur tous les sites ». Cela permet à l’extension d’accéder aussi à votre banque, à votre messagerie et au panneau d’administration de votre site. Un compteur d’utilisation Claude n’en a besoin en aucun cas.

4. Limitez l’accès au strict minimum

   Au même endroit, remplacez « Sur tous les sites » par « Sur des sites spécifiques » ou « Au clic ». L’extension continuera de fonctionner là où elle en a besoin et cessera de lire tout le reste.

5. Vérifiez si la propriété a changé

   Les extensions sont revendues, et un nouveau propriétaire peut publier une mise à jour qui s’installe discrètement. Parmi les signes à surveiller : un éditeur ou une adresse d’assistance qui a changé, une mise à jour publiée après une longue période sans activité et sans description claire des changements, de nouvelles autorisations absentes de la version précédente, ou une vague soudaine d’avis signalant des résultats de recherche et des publicités remplacés.

Il existe aussi une sixième vérification pour ceux qui veulent approfondir : activez le « Mode développeur » sur la même page, cliquez sur le lien bleu sous l’extension, puis consultez l’onglet « Network » pour voir où vont les requêtes. Elles ne devraient aller que vers claude.ai et le site de l’auteur de l’extension. Si une troisième adresse apparaît sans être mentionnée dans la description, l’extension envoie vos données ailleurs. Cette vérification est fastidieuse ; les cinq premières étapes suffisent sans elle.

Et posez-vous une dernière question : pourquoi cette tâche nécessite-t-elle la clé de tout votre compte ? Il est possible d’afficher les limites d’utilisation restantes sans elle, et d’exporter les conversations aussi.

Que faire si vous avez déjà transmis la clé ?#

1. Supprimez l’extension ou révoquez son accès

   Tant qu’elle est installée, toute nouvelle clé suivra le même chemin. Allez sur chrome://extensions et cliquez sur « Supprimer ».

2. Vérifiez qui est actuellement connecté à votre compte

   Sur claude.ai, ouvrez « Settings », la section « Account » et le bloc « Active sessions ». Pour chaque session, vous pouvez voir l’appareil et le navigateur, une localisation approximative calculée d’après l’adresse de connexion, ainsi que l’heure de la dernière utilisation ; votre session actuelle est marquée par une icône « Current session ». Une ville inconnue ou le navigateur d’une autre personne dans la liste ne laisse aucun doute. Vous pouvez fermer une session individuellement à l’aide du menu à trois points, en sélectionnant « Terminate », puis en confirmant.

3. Déconnectez-vous de toutes les sessions en une seule fois

   Au même endroit, dans « Settings » → « Account », se trouve un bouton « Log Out ». Il vous déconnecte de tous vos appareils : navigateurs, applications mobiles et programmes de bureau. Cette action ferme toutes les sessions actives. Terminer individuellement celle concernée la révoque aussi ; utilisez la déconnexion globale si vous ne l’identifiez pas avec certitude. Anthropic précise que les applications Claude pour iOS et Android ne proposent pas ce bouton ; déconnectez-vous depuis un navigateur.

4. Changez votre mot de passe si vous vous connectez avec celui-ci

   Ignorez cette étape si vous vous connectez avec « Continue with Google » ou via un compte professionnel. L’ordre est important : changer votre mot de passe empêche les prochaines connexions, mais ne ferme pas les sessions déjà ouvertes. Faites-le donc après l’étape 3.

5. Prévenez Anthropic

   Les Conditions d’utilisation destinées aux consommateurs vous obligent à signaler immédiatement tout accès non autorisé en envoyant un e-mail à support@anthropic.com. N’envoyez pas ce message uniquement pour cocher une case : si quelqu’un a déjà fait quelque chose avec votre compte, cela consigne le fait que vous l’avez vous-même signalé.

6. Vérifiez vos clés et votre historique

   Si vous avez un compte dans la console développeur, consultez la section « API Keys » et supprimez toute clé qui vous semble suspecte. Anthropic recommande de révoquer une clé dès que vous soupçonnez une fuite et de définir des limites d’utilisation en même temps. Effacez ensuite les conversations et les fichiers sensibles de Projects : ils disparaissent immédiatement de l’historique et du stockage sous trente jours. Pour télécharger une copie complète de vos conversations et les examiner, allez dans « Settings » → « Privacy » → « Export data » ; le lien vers l’archive est disponible pendant une journée. Vérifiez aussi si des données ont fuité plus tôt par un autre moyen : l’article sur les conversations Claude qui apparaissent dans les recherches Google traite des liens publics vers les conversations.

Une autre question fait hésiter certaines personnes à l’étape trois : qu’advient-il de l’abonnement déjà payé au vendeur ? Le bouton « Log Out » ferme les sessions sans toucher à l’abonnement : la formule est liée au compte et peut être annulée séparément au moyen d’un bouton dans la section « Billing ». Vous pouvez donc vous déconnecter de toutes les sessions et conserver la formule payante. Cependant, les conditions du vendeur dégagent celui-ci de toute responsabilité en cas de bannissement ; vous n’avez donc aucune protection. La décision « Je vais attendre parce que je ne veux pas perdre mon argent » ne vous protège absolument pas.

Il y a une chose que vous ne pouvez pas annuler : ce qui a été lu l’a été. Et si les chats contenaient des données clients, parlez-en à la personne responsable des données personnelles dans votre organisation.

Comment faire la même chose sans clé ?#

Vous pouvez révoquer les clés API une par une sans fermer les sessions navigateur. Celles-ci se terminent aussi individuellement, avec des contrôles distincts : retirez la clé API compromise dans Console ou terminez la session web concernée dans Active sessions. Anthropic recommande d’utiliser des clés différentes selon les environnements — développement, test et production — et de les renouveler régulièrement, par exemple tous les 90 jours. Consultez les instructions de renouvellement de l’abonnement.

Une précision à part sur l’extension officielle, car elle aussi peut accéder aux conversations. La différence, c’est qu’elle utilise votre connexion Claude sur votre propre appareil et n’envoie rien à l’extérieur : la clé ne part pas ailleurs. Malgré cela, Anthropic reste prudent dans ses recommandations : l’entreprise conseille d’utiliser l’extension dans un profil de navigateur distinct, sans accès aux comptes bancaires, médicaux ou gouvernementaux. Si le créateur de la plateforme prend autant de précautions avec son propre produit, soyez encore plus prudent avec une extension tierce qui peut accéder à claude.ai.

Quelles autres questions les gens posent-ils sur les clés de session ?#

Que faire ensuite ?#

Vérifier vos extensions prend environ dix minutes et réserve généralement une mauvaise surprise. Ouvrez chrome://extensions et comptez celles qui ont l’autorisation « Sur tous les sites ». Pour celles qui peuvent fonctionner sans cette autorisation, choisissez « Au clic ». Pour les autres, vérifiez si claude.ai figure dans la liste d’une extension sans rapport avec Claude.

Et voici une règle qui s’applique au-delà de cette situation. Si un outil demande l’accès à tout votre compte alors qu’il pourrait utiliser une clé distincte, il s’épargne du travail à vos dépens. L’article Est-il sûr de donner accès à vos données à Claude Code ? explique quels accès valent la peine d’être accordés aux outils d’IA et lesquels ne le sont pas. Consultez la sécurité du vibe coding pour découvrir les vulnérabilités des projets créés avec le vibe coding.

Ouvrir Ailoot.