secret() - Elding

secret() récupère la valeur brute d’une clé depuis le vault. C’est le filet de sécurité pour les cas que le proxy ne sait pas (encore) router. Tant qu’un provider fonctionne avec configure(), préfère-le toujours : avec configure(), la clé ne touche jamais ton process.

secret() ne passe pas par le proxy. La vraie clé entre dans la mémoire de ton application (mode client) et le host-lock n’est pas appliqué. À n’utiliser que lorsque configure() ne peut pas faire le travail.

import { secret } from "@elding/sdk";

const authToken = await secret("TWILIO_AUTH_TOKEN");
const client = twilio(accountSid, authToken);

Quand l’utiliser

configure() couvre les providers à header simple (Authorization: Bearer …, x-api-key). secret() prend le relais pour le reste :

Auth composée

Twilio (Basic base64(SID:token)) et tout schéma à deux valeurs que le proxy ne sait pas assembler.

Header custom

Azure OpenAI (api-key:), schémas Token … ou tout en-tête d’authentification non standard.

SDK sans baseURL

Un client qui n’expose ni baseURL ni fetch personnalisé — impossible de le router vers le proxy.

Secret non-HTTP ponctuel

Une valeur utilisée directement en process, hors d’un appel HTTP.

Le compromis

	`configure()` (proxy)	`secret()` (client)
Clé dans le process	jamais	oui (5 min puis effacée)
Host-lock appliqué	oui	non
Providers	header simple (Bearer / x-api-key)	tous (Basic, custom, non-HTTP)

On perd le zero-knowledge pour cette clé. Mais ça reste supérieur à un .env : valeur centralisée, rotatable, chiffrée au repos, fetch audité, et gardée en mémoire 5 minutes maximum puis effacée — au lieu d’un .env présent dans tout le process à vie.

Règle : configure() par défaut. secret() uniquement quand le proxy ne peut pas injecter la clé.

Paramètres

Paramètre	Type	Requis	Description
`name`	`string`	Oui	Nom de la clé dans le vault (`A-Z`, `0-9`, `_`).
`options`	`ClientOptions`	Non	Override `refreshToken`, `setId` ou `cacheTtlMs`.

Retourne Promise<string> — la valeur brute de la clé.

​Quand l’utiliser

Auth composée

Header custom

SDK sans baseURL

Secret non-HTTP ponctuel

​Le compromis

​Paramètres

Quand l’utiliser

Le compromis

Paramètres