# Protégez votre token

_Connecter Claude / Codex · Lecture de 2 min · Mis à jour 2026-11-08 · https://lanachat.ai/guides/fr/ai-security/_

Votre token MCP LanaChat ouvre votre espace de travail avec les cases que vous avez cochées, pendant 365 jours : traitez-le comme le mot de passe du propriétaire de l'agence. Un token par assistant, jamais dans une conversation, et révoquez-le immédiatement si vous pensez qu'il a fuité.

## Quelles sont les règles ?

- **Un token par assistant.** Un token pour Claude Code sur votre Mac, un autre pour Cursor. Vous pourrez ainsi en révoquer un sans toucher aux autres.
- **Ne collez jamais le token dans une conversation**, pas même avec votre propre assistant. Il va uniquement dans la configuration : la commande `claude mcp add`, `config.toml`, ou le fichier JSON.
- **Jamais dans un e-mail, une capture d'écran, un document partagé ou un dépôt Git.**
- **Ne cochez que le nécessaire.** Laissez **Read reply diagnostics** et **Import fan history** décochés sauf si vous les utilisez. Seul **Spend the balance on licences** permet à un assistant de dépenser votre solde, uniquement en licences, dans la limite de la **Daily limit for licences** du token ; elle n'est jamais cochée par défaut.
- **Gardez le dernier mot.** Sans **Publish agency AI**, l'assistant peut modifier et tester des brouillons, mais jamais publier ni activer les réponses. Il ne peut pas non plus créer le premier AI Brain d'une créatrice : cochez la case pour cette configuration puis décochez-la avec **Edit**, ou créez d'abord le brain dans la Console.

## Que faire si vous pensez qu'il a fuité ?

1. Ouvrez **Users › API & MCP**.
2. Appuyez sur **Revoke** sur le token. Il cesse de fonctionner immédiatement ; les opérations déjà en cours peuvent se terminer.
3. Créez un nouveau token et mettez-le dans votre assistant.

## Rotate, Renew, Revoke : quelle différence ?

| Action | Ce qui se passe |
|---|---|
| **Edit** | modifie les cases ; le token reste le même |
| **Rotate** | donne un nouveau token ; l'ancien meurt immédiatement |
| **Renew** | comme Rotate, pour un token expiré |
| **Revoke** | tue définitivement le token |
| **Show revoked tokens** | liste les anciens |

## Que ne peut jamais faire le token ?

- Envoyer un message à un fan.
- Créer, modifier ou lire un autre token.
- Atteindre une autre agence.
- Lire des secrets : les tokens de bot et les clés d'intégration sont en écriture seule.

> Warning: Le token de bot Telegram donné par BotFather est aussi un secret. Si vous le donnez à votre assistant pour connecter un bot, il doit le transmettre une seule fois à l'outil et ne jamais le répéter. Vous pouvez aussi ajouter le bot vous-même dans **Studio › Telegram Accounts**.

## FAQ

### Que faire si mon token a fuité ?
Appuyez sur **Revoke** sur le token dans **Users › API & MCP** : il cesse de fonctionner immédiatement. Créez ensuite un nouveau token et mettez-le dans votre assistant.

### Combien de temps un token est-il valable ?
365 jours. **Rotate** donne un nouveau token et tue l'ancien immédiatement ; **Renew** fait de même pour un token expiré.

### Le token peut-il atteindre une autre agence ou lire des secrets ?
Non. Il fonctionne uniquement dans votre espace de travail, et les tokens de bot et clés d'intégration sont en écriture seule : aucun outil ne les relit.

### Un membre de l'équipe peut-il créer un token ?
Non. Seuls le propriétaire de l'espace de travail et les propriétaires d'agence peuvent ouvrir **API & MCP**.

## Articles liés

- [Créer votre token MCP](https://lanachat.ai/guides/fr/ai-create-mcp-token/)
- [Dépanner le MCP : 401, 403, outils manquants](https://lanachat.ai/guides/fr/ai-troubleshooting/)
- [MCP tool reference: every tool, by screen](https://lanachat.ai/guides/mcp-tool-reference/)