Des appels d'API directs à un seul point d'accès gouverné

Pas sûr d'avoir déjà besoin d'une passerelle ? Cette page explique ce qu'elle fait, et quand appeler directement le fournisseur reste le meilleur choix : Qu'est-ce qu'une passerelle IA ?

Cinq étapes, une application à la fois

1 · Lancez Wäg et ajoutez vos fournisseurs

Reliez chaque fournisseur à votre compte existant et nommez les alias d'après les noms de modèles que votre code envoie déjà. Ainsi, aucune référence de modèle ne change dans aucune application.

# waeg.yaml — aliases named after the models your code already asks for
providers:
  openai:
    provider: openai
    api_key_env: OPENAI_API_KEY
  anthropic:
    provider: anthropic
    api_key_env: ANTHROPIC_API_KEY

models:
  - name: gpt-4o
    deployments:
      - provider: openai
        model_id: gpt-4o

  - name: claude-haiku-4-5
    deployments:
      - provider: anthropic
        model_id: claude-haiku-4-5

Les clés sont résolues depuis l'environnement ou votre coffre, jamais écrites dans le fichier.

2 · Émettez une clé de passerelle par application

Chaque application reçoit sa propre clé virtuelle à la place de la clé fournisseur. C'est ce qui permet le coût par application, les limites par équipe et la révocation d'un seul service — ce qu'une clé fournisseur partagée ne permet pas.

3 · Changez l'URL de base et la clé

Wäg expose la surface compatible OpenAI — chat completions, l'API Responses (sans état), embeddings, images, audio, vidéo, OCR, modération, rerank, fichiers, lots, temps réel et modèles — avec un vrai streaming SSE, plus /v1/mcp et /v1/a2a pour les agents. Dans l'application, deux lignes changent :

  client = OpenAI(
-     api_key=os.environ["OPENAI_API_KEY"],
+     base_url=os.environ["WAEG_BASE_URL"],   # e.g. https://waeg.internal/v1
+     api_key=os.environ["WAEG_KEY"],         # this application's gateway key
  )

Les applications construites sur les SDK propres à Anthropic ou à Gemini sont prises en charge aussi : /v1/messages et /v1beta de Gemini sont des formats de requête de premier ordre, pas seulement des traductions du format OpenAI.

4 · Vérifiez, puis passez à l'application suivante

Envoyez une requête normale, une en streaming et une avec appel d'outils, puis lisez les en-têtes de réponse : x-waeg-routed-model indique quel modèle a répondu, x-waeg-route-reason pourquoi (avec le routage intelligent), x-waeg-cache si un cache a répondu. La requête est déjà dans la console avec ses tokens et son coût.

Un ordre raisonnable : d'abord les outils internes, puis les charges batch et hors ligne, puis un service de production, puis tout le reste.

5 · Retirez les clés fournisseur des applications

Quand toutes les applications passent par Wäg, faites tourner les clés fournisseur et supprimez-les des environnements applicatifs, des secrets de CI et des fichiers de configuration. Désormais, seul Wäg les détient — c'est l'essentiel du gain de sécurité, et l'étape que les équipes oublient le plus souvent.

Ce que vous avez gagné

• Le coût par application, équipe et utilisateur, en temps réel — et non reconstitué à partir d'une facture.
• Des budgets qui arrêtent la dépense avant l'appel au fournisseur, et non des tableaux de bord qui passent au rouge après coup.
• Un repli vers un autre fournisseur ou modèle quand l'un est indisponible.
• Des règles sur les données — masquer, caviarder, bloquer — appliquées à chaque prompt, y compris dans les applications que personne n'a touchées.
• Une trace de chaque requête : qui, quel modèle, pourquoi, combien elle a coûté, quelles règles se sont appliquées.
• Des modèles ajoutés ou remplacés par la configuration, sans redéployer chaque application.

Ce que cela vous coûte

• Un service de plus à exploiter. Le mode embarqué ne demande rien d'externe mais est mononœud et en mémoire, pour les essais ; la production tourne sur Postgres et OpenFGA, plus Redis dès qu'il y a plusieurs réplicas.
• Un saut réseau de plus. Quelques millisecondes face à des appels de modèles de plusieurs centaines de millisecondes à plusieurs secondes — et un succès de cache revient plus vite que n'importe quel fournisseur.
• Quelqu'un doit en être responsable. En général l'équipe plateforme, les mêmes personnes que pour vos autres infrastructures partagées.

Questions fréquentes