Ajouter un chatbot IA à votre application HTML sans divulguer votre clé API

Ajouter un assistant de chat à une application est l'une des idées les plus populaires du moment. C'est aussi là que beaucoup de développeurs débutants commettent une erreur coûteuse : coller leur clé API d'IA directement dans le JavaScript.

N'importe qui peut ouvrir un APK et lire les fichiers qu'il contient. Si votre clé s'y trouve, quelqu'un la trouvera, et vous paierez son utilisation. Voici comment faire correctement.

La règle : la clé ne va jamais dans l'application

Votre application doit parler à votre serveur. Votre serveur détient la clé et parle au fournisseur d'IA. L'application ne voit jamais la clé.

Phone app  →  your small proxy  →  AI provider
              (holds the key)

Ce proxy peut être minuscule. Une fonction serverless sur Cloudflare Workers, par exemple, fait quelques dizaines de lignes et dispose d'une offre gratuite généreuse.

Un proxy minimal

// Cloudflare Worker. The key is stored as a secret, not in code.
export default {
  async fetch(req, env) {
    if (req.method !== 'POST') return new Response('Not allowed', { status: 405 });
    const { message } = await req.json();
    if (!message || message.length > 2000) return new Response('Bad request', { status: 400 });
    // Call your AI provider here with env.AI_KEY and return its answer.
  }
};

Stockez la clé avec la fonction de secrets de la plateforme pour qu'elle n'apparaisse jamais dans votre code ni dans votre dépôt.

Limiter ce que le proxy peut faire

• Plafonner la taille de l'entrée. Rejetez les messages énormes avant qu'ils n'atteignent l'IA.
• Fixer le modèle et les réglages côté serveur. Ne laissez pas l'application choisir un modèle coûteux.
• Limitation de débit. Quelques requêtes par minute et par utilisateur suffisent largement pour une fonction de chat.
• Fixer une limite de dépenses chez votre fournisseur d'IA, pour qu'un bug ne devienne jamais une facture énorme.

L'appeler depuis votre application

Depuis votre application HTML, un simple fetch vers votre proxy suffit. Affichez un indicateur de saisie pendant l'attente et gérez les erreurs avec soin : les téléphones perdent le signal, et le service d'IA peut être occupé.

Ne pas oublier les règles des stores

Une application qui génère du texte avec l'IA relève de la politique de Google Play sur le contenu généré par l'IA. Il faut permettre aux utilisateurs de signaler les contenus choquants, et votre politique de confidentialité ainsi que le formulaire Sécurité des données doivent mentionner que les messages sont envoyés à un service tiers. Nous traitons les deux dans notre guide de la politique et dans la confidentialité des applications IA.