Accueil → Aide

401 avec une clé qui est forcément correcte : vérifiez le format de l'en-tête

Les endpoints compatibles OpenAI attendent Authorization: Bearer . Si le schéma manque, est dupliqué ou si l'en-tête contient des espaces parasites, le serveur voit un identifiant mal formé et répond 401, la même réponse qu'avec une mauvaise clé.

Ce que vous voyez

401 Unauthorized with a key you just copied
invalid_api_key / authentication_error
curl works but the app does not, with the same key
The key works in one client and not another

Pourquoi cela arrive

Certains clients HTTP et outils no-code demandent un « token » et ajoutent eux-mêmes le préfixe Bearer. Coller 'Bearer sk-...' dans un tel champ produit 'Bearer Bearer sk-...'.

Copier depuis une fenêtre de chat ou un PDF peut ramener un saut de ligne final ou une espace insécable. La chaîne paraît identique à l'écran et ne l'est pas dans ce qui est transmis.

Quelques passerelles acceptent plutôt un en-tête x-api-key, ou en plus. Envoyer la clé dans le mauvais en-tête revient exactement à ne pas l'envoyer du tout.

Vérifiez si c'est bien la cause

Affichez exactement ce que votre client envoie, avec la longueur de la clé visible :

KEY='paste-here'
echo "length: ${#KEY}"
curl -s -o /dev/null -w '%{http_code}\n' \
  'YOUR_BASE_URL/models' -H "Authorization: Bearer $KEY"

Si la longueur n'est pas celle attendue, le problème vient de la copie. Un 200 ici et un 401 dans votre application signifient que l'application construit l'en-tête autrement : examinez ce qu'elle envoie, pas ce que vous avez collé.

Comment le corriger

Collez uniquement la clé, jamais le schémaDans tout champ intitulé token, key ou secret, collez la clé seule. L'outil ajoute Bearer.
Supprimez les espaces à la lectureNettoyez la valeur quand vous la lisez depuis une variable d'environnement ou un fichier. Le saut de ligne final d'un heredoc ou d'une ligne copiée est le cas classique.
Confirmez que la clé n'a pas été renouveléeSi le format est correct, listez vos clés dans la console et vérifiez que celle utilisée existe encore et est activée. Une clé révoquée échoue exactement comme une clé mal formée.

Les clés APICLAN commencent par sk- et vont dans Authorization: Bearer <key>. Une clé appartient à un groupe, donc une clé qui s'authentifie correctement peut quand même renvoyer 404 sur un modèle hors de son groupe : c'est une autre erreur, avec une autre solution.

Voir aussi

Unexpected token '<' lors d'un appel à une API compatible OpenAI 401 invalid API key : quand la clé semble correcte mais échoue quand même

Dernière vérification le 2026-10-01. Rédigé à partir de problèmes diagnostiqués sur une passerelle compatible OpenAI en production, pas compilé à partir d'autres sites.