Clé API Grok gratuite : ce qui est réel et ce qui est une arnaque

Origine des clés gratuites

Recherchez une clé gratuite et vous trouverez trois types d'offres. Chacune a son piège.

• Clés divulguées. Quelqu'un a ajouté une clé dans un dépôt public ou l'a collée dans un chat. Les robots les récupèrent en quelques minutes, et le propriétaire les révoque généralement peu après.
• Clés volées. Identifiants prélevés sur des comptes ou machines compromis. Leur utilisation constitue un accès non autorisé, et la facture retombe sur une victime.
• Appât. Un site ou un bot qui vous demande de vous inscrire, d'installer quelque chose, d'exécuter un script ou de donner une autorisation de portefeuille en échange d'une clé. La clé n'arrive jamais, ou il s'agit de l'un des deux premiers types.

Le résumé honnête : une clé gratuite pour tout le monde n'est pas gratuite pour la personne dont le compte est associé.

Pourquoi les offres semblent convaincantes

Les arnaqueurs copient le langage des vrais fournisseurs : tableaux de bord, numéros de version, captures d'écran de soldes et témoignages de comptes qui n'existent pas. Une fausse page peut afficher une clé fonctionnelle pendant quelques heures, le temps de collecter des inscriptions ou des clics, puis de la désactiver. Une autre astuce est l'objet gratuit qui fonctionne pour dix requêtes puis demande un dépôt pour continuer, un modèle conçu pour vous faire payer un inconnu.

La preuve sociale est facile à falsifier. Un commentaire disant que la clé a fonctionné n'est pas une preuve. Seul votre propre compte chez un fournisseur que vous pouvez identifier l'est.

Ce que cela vous coûte

Le prix n'apparaît sur aucune facture, ce qui explique pourquoi les risques sont faciles à sous-estimer.

Risque	Ce qui se passe
Confidentialité	Chaque prompt et réponse passe par un compte que vous ne contrôlez pas. Le propriétaire, ou celui qui a vendu la clé, peut le lire.
Fiabilité	La clé est révoquée sans préavis et votre application tombe en panne le jour même.
Logiciel malveillant	Les téléchargeurs et les « générateurs de clés » sont une voie de livraison courante pour les voleurs d'identifiants.
Mentions légales	L'utilisation des identifiants d'autrui sans autorisation peut enfreindre les lois sur l'abus d'ordinateur et les conditions du fournisseur.
Paiement arnaque	Les vendeurs demandent des frais mineurs de « libération » en crypto et disparaissent.

Si vous construisez quelque chose pour des utilisateurs, une clé en laquelle vous ne pouvez pas avoir confiance est un passif que vous leur transmettez.

Signes d'alerte d'une offre de clé gratuite

1. Elle promet une utilisation illimitée. Tout service réel compte l'utilisation quelque part.
2. Elle demande un paiement pour libérer une clé gratuite.
3. Elle vous demande de connecter un portefeuille, d'installer une extension ou d'exécuter un script.
4. La clé est publiée publiquement pour tout le monde, sans inscription.
5. Le site imite le nom ou le logo d'un fournisseur mais utilise un domaine différent.
6. Le site refuse de dire qui gère le service ou quel modèle se trouve derrière.

Un seul contrôle règle la plupart des doutes : un fournisseur légitime vous donne votre propre clé, sur votre propre compte, dans une console que vous avez accédée en tapant l'adresse vous-même.

Moyens légitimes de tester pour peu ou rien

D'abord, inspectez le fournisseur. xAI décide s'il propose des crédits ou promotions gratuits à un moment donné, alors consultez les pages de crédits et de facturation dans leur console. Ne vous fiez pas à un message de forum.

Deuxièmement, utilisez un hôte indépendant qui offre un véritable essai. Nous sommes un service indépendant, pas l'API officielle xAI, et les nouveaux utilisateurs peuvent réclamer 0,50 $ de crédit d'essai en un clic sur la page Clé API. C'est un par personne, valable 7 jours, sans carte. À 1 000 tokens d'entrée et 500 tokens de sortie par requête, 0,50 $ couvre environ 1 250 requêtes, suffisant pour une évaluation sérieuse.

Troisièmement, exécutez un modèle à poids ouverts en local sur votre propre matériel si vous l'avez. Il n'y a pas de coût par token, mais vous assumez le matériel, la configuration et le réglage vous-même.

Comment vérifier un fournisseur avant de lui faire confiance

Tous les hôtes à faible coût ne sont pas des arnaques, et tous les sites soignés ne sont pas sûrs. Quelques vérifications les séparent rapidement.

• Compte propre, clé propre. Vous vous inscrivez, vous obtenez une clé liée à votre compte, et vous pouvez la régénérer vous-même.
• Conditions déclarées. Il y a des pages pour les conditions, la confidentialité et le support, et elles indiquent ce qui arrive à vos prompts.
• Identité claire du produit. Le service dit ce qu'il est et ce qu'il n'est pas. Celui-ci indique qu'il n'est pas l'API officielle de xAI ou d'un autre fournisseur.
• Prix visibles. Les tarifs sont publics, par token, sans promesse vague d'absence de limite.
• Petite première étape. Vous pouvez tester avec un petit essai ou le plus petit dépôt avant de vous engager avec de l'argent réel.

Nos propres pages de conditions et de confidentialité sont liées depuis chaque page, et la page de clé explique l'essai en mots clairs. Lisez-les, et attendez de tout fournisseur que vous utilisez qu'il passe le même test.

Si vous avez déjà utilisé une clé partagée

Arrêtez de l'utiliser, et supposez que tout ce que vous avez envoyé via elle a été lu. Supprimez les secrets des prompts que vous avez peut-être collés, et faites tourner les identifiants qui y figuraient. Analysez tout fichier téléchargé depuis l'offre avec un outil de sécurité à jour, et changez les mots de passe des comptes auxquels vous vous êtes connecté depuis cette machine.

Si la clé divulguée est la vôtre, régénérez-la. Sur la page de clé API, une action de régénération réémet la clé instantanément et l'ancienne cesse de fonctionner. Les comptes qui ont été rechargés peuvent conserver jusqu'à 5 clés libellées et en révoquer n'importe laquelle, ce qui limite les dégâts lorsqu'une clé s'échappe.

Une liste de contrôle pour les 24 prochaines heures

1. Arrêtez tous les programmes qui lisent cette clé et supprimez-la de votre configuration.
2. Vérifiez les prompts que vous avez envoyés et faites tourner les secrets qui y figuraient.
3. Exécutez un analyseur de logiciels malveillants si vous avez exécuté un script, une extension ou un programme d'installation provenant de l'offre.
4. Modifiez le mot de passe de tout compte auquel vous vous êtes connecté depuis cette machine, et activez l'authentification à deux facteurs.
5. Remplacez la clé par une provenant d'un compte qui vous appartient, puis testez avec l'appel curl depuis la documentation.

Rien sur cette liste ne prend beaucoup de temps, et le faire une fois vaut mieux que de découvrir plus tard où un identifiant compromis a atterri.

Une comparaison des coûts qui rend l'arnaque dénuée de sens

L'argument pour une clé douteuse est l'économie d'argent. Les chiffres ne le soutiennent pas. Une requête typique avec 1 000 tokens d'entrée et 500 tokens de sortie coûte 0,0004 $ à 0,15 $ et 0,50 $ par 1M tokens. Un projet qui envoie 1 000 de ces requêtes par jour dépense 0,40 $ par jour, soit 12,00 $ sur 30 jours.

Face à cela, considérez les inconvénients d'une clé volée : une clé révoquée qui arrête votre produit, des prompts exposés à un inconnu, un problème juridique possible, et le temps passé à chercher la prochaine liste. Pour 12 $ par mois, vous pouvez exécuter un vrai projet sur un compte qui vous appartient. Un dépôt de 20 $, le plus petit, couvre 50 000 de ces requêtes et n'expire jamais.

Si vous avez juste besoin d'un aperçu rapide, l'essai de 0,50 $ couvre environ 1 250 requêtes de cette taille. C'est plus que la plupart des gens n'ont besoin pour une première évaluation.

L'alternative bon marché et honnête

Après l'essai, le coût est faible et prévisible. La tarification est de 0,15 $ par 1M de tokens d'entrée et 0,50 $ par 1M de tokens de sortie, depuis le crédit prépayé, sans abonnement. Le plus petit rechargement est de 20 $, ce qui achète 50 000 requêtes de la taille 1 000 en entrée, 500 en sortie. Les requêtes échouées ou refusées ne sont pas facturées, et le crédit n'expire jamais. Le paiement est en crypto, USDT sur TRC20 ou USDC sur Base.

Voir la page de tarification pour les paliers de bonus et la documentation pour faire votre première requête. Si vous comparez les options fermées et ouvertes, lisez pourquoi les développeurs passent à des modèles sans censure.

Plus de guides

• Comment créer une clé API Grok, plus une alternative
• Clé API Claude : Pourquoi les développeurs passent à des modèles sans censure