feat: supprimer la saisie de clé API dans l'UI — les clés viennent des secrets HF

- Supprime POST /api/v1/settings/api-key, ApiKeyRequest, ApiKeyResponse,
et _validate_api_key (inutiles : clés dans variables d'env, R06)
- GET /api/v1/models utilise directement les credentials de settings
- Admin.tsx/ModelSection : supprime le champ mot de passe et le bouton
« Vérifier » ; charge la liste des modèles au montage automatiquement ;
affiche un message explicite si aucun modèle n'est disponible
- api.ts : supprime validateApiKey() et l'interface ApiKeyResponse
- Tests : remplace les tests api-key par un test vérifiant que l'endpoint
supprimé retourne bien 404/405 ; 505 passed, 3 skipped

https://claude.ai/code/session_018woyEHc8HG2th7V4ewJ4Kg

backend/app/api/v1/models_api.py

@@ -1,14 +1,13 @@
 """
 Endpoints de gestion des modèles IA (R10 — préfixe /api/v1/).
 
-POST /api/v1/settings/api-key       → valide la clé sans la stocker (R06)
-GET  /api/v1/models                 → liste les modèles disponibles
+GET  /api/v1/models                 → liste les modèles disponibles via les credentials env
 POST /api/v1/models/refresh         → force la mise à jour de la liste
 PUT  /api/v1/corpora/{id}/model     → associe un modèle à un corpus
 GET  /api/v1/corpora/{id}/model     → modèle actif d'un corpus
 
-Règle R06 : la clé API ne transite jamais vers la BDD — elle reste
-            exclusivement dans les variables d'environnement.
+Les clés API vivent exclusivement dans les secrets HuggingFace (variables d'environnement).
+L'interface ne demande jamais de clé à l'utilisateur (R06).
 """
 # 1. stdlib
 import logging
@@ -32,18 +31,6 @@ router = APIRouter(tags=["models"])
 
 # ── Schémas ───────────────────────────────────────────────────────────────────
 
-class ApiKeyRequest(BaseModel):
-    api_key: str
-    provider_type: str = "google_ai_studio"
-
-
-class ApiKeyResponse(BaseModel):
-    valid: bool
-    provider: str
-    model_count: int
-    error: str | None = None
-
-
 class ModelSelectRequest(BaseModel):
     model_id: str
     provider_type: str
@@ -66,46 +53,11 @@ class ModelsRefreshResponse(BaseModel):
     refreshed_at: datetime
 
 
-# ── Validation de clé API (isolé pour les tests) ──────────────────────────────
-
-def _validate_api_key(api_key: str, provider_type: str) -> tuple[bool, int, str | None]:
-    """Essaie de lister les modèles avec la clé fournie.
-
-    Retourne (valid, model_count, error_message).
-    Fonction isolée au niveau module pour être patchable dans les tests.
-    """
-    try:
-        from google import genai  # import local pour éviter l'import top-level
-        client = genai.Client(api_key=api_key)
-        raw_models = list(client.models.list())
-        vision_count = sum(
-            1 for m in raw_models if "gemini" in (getattr(m, "name", "") or "").lower()
-        )
-        return True, vision_count, None
-    except Exception as exc:
-        return False, 0, str(exc)
-
-
 # ── Endpoints ─────────────────────────────────────────────────────────────────
 
-@router.post("/settings/api-key", response_model=ApiKeyResponse)
-async def validate_api_key(body: ApiKeyRequest) -> ApiKeyResponse:
-    """Valide qu'une clé API fonctionne (appel list_models).
-
-    La clé N'EST PAS stockée (R06). Elle reste dans les variables d'env.
-    """
-    valid, count, error = _validate_api_key(body.api_key, body.provider_type)
-    return ApiKeyResponse(
-        valid=valid,
-        provider=body.provider_type,
-        model_count=count,
-        error=error,
-    )
-
-
 @router.get("/models", response_model=list[dict])
 async def get_models() -> list[dict]:
-    """Liste tous les modèles disponibles sur les providers configurés."""
+    """Liste tous les modèles disponibles sur les providers configurés en environnement."""
     models = list_all_models()
     return [m.model_dump() for m in models]
 

backend/tests/test_api_models.py

@@ -1,12 +1,11 @@
 """
-Tests des endpoints /api/v1/models et /api/v1/settings/api-key (Sprint 4 — Session B).
+Tests des endpoints /api/v1/models (Sprint 4 — Session B).
 
 Stratégie :
-  - Appels Google AI mockés via monkeypatch sur _validate_api_key et list_all_models
+  - Appels Google AI mockés via monkeypatch sur list_all_models
   - BDD SQLite en mémoire pour les endpoints qui touchent la BDD (PUT/GET model)
 
 Vérifie :
-- POST /api/v1/settings/api-key → valid/invalid
 - GET  /api/v1/models            → liste mockée
 - POST /api/v1/models/refresh    → mise à jour + timestamp
 - PUT  /api/v1/corpora/{id}/model → création + mise à jour
@@ -63,83 +62,17 @@ async def _make_corpus(db, slug="models-test"):
 
 
 # ---------------------------------------------------------------------------
-# POST /api/v1/settings/api-key
+# POST /api/v1/settings/api-key → supprimé (clés dans secrets HF, R06)
 # ---------------------------------------------------------------------------
 
 @pytest.mark.asyncio
-async def test_api_key_valid(async_client, monkeypatch):
-    monkeypatch.setattr(
-        models_api_module, "_validate_api_key",
-        lambda key, provider: (True, 3, None),
-    )
-    response = await async_client.post(
-        "/api/v1/settings/api-key",
-        json={"api_key": "AIza-test-key", "provider_type": "google_ai_studio"},
-    )
-    assert response.status_code == 200
-    data = response.json()
-    assert data["valid"] is True
-    assert data["model_count"] == 3
-    assert data["provider"] == "google_ai_studio"
-    assert data["error"] is None
-
-
-@pytest.mark.asyncio
-async def test_api_key_invalid(async_client, monkeypatch):
-    monkeypatch.setattr(
-        models_api_module, "_validate_api_key",
-        lambda key, provider: (False, 0, "API key not valid"),
-    )
+async def test_settings_api_key_endpoint_removed(async_client):
+    """L'endpoint /api/v1/settings/api-key ne doit plus exister (404 ou 405)."""
     response = await async_client.post(
         "/api/v1/settings/api-key",
-        json={"api_key": "bad-key", "provider_type": "google_ai_studio"},
+        json={"api_key": "AIza-test", "provider_type": "google_ai_studio"},
     )
-    assert response.status_code == 200
-    data = response.json()
-    assert data["valid"] is False
-    assert data["model_count"] == 0
-    assert data["error"] is not None
-
-
-@pytest.mark.asyncio
-async def test_api_key_not_stored_in_db(async_client, db_session, monkeypatch):
-    """La clé ne doit apparaître nulle part dans la BDD (R06)."""
-    monkeypatch.setattr(
-        models_api_module, "_validate_api_key",
-        lambda key, provider: (True, 2, None),
-    )
-    await async_client.post(
-        "/api/v1/settings/api-key",
-        json={"api_key": "secret-key-AIza123", "provider_type": "google_ai_studio"},
-    )
-    # Vérifie que la clé n'est pas dans model_configs
-    from sqlalchemy import text
-    result = await db_session.execute(text("SELECT * FROM model_configs"))
-    rows = result.fetchall()
-    for row in rows:
-        row_str = str(row)
-        assert "secret-key-AIza123" not in row_str
-
-
-@pytest.mark.asyncio
-async def test_api_key_missing_body_422(async_client):
-    response = await async_client.post("/api/v1/settings/api-key", json={})
-    assert response.status_code == 422
-
-
-@pytest.mark.asyncio
-async def test_api_key_default_provider_type(async_client, monkeypatch):
-    """provider_type est optionnel (default: google_ai_studio)."""
-    monkeypatch.setattr(
-        models_api_module, "_validate_api_key",
-        lambda key, provider: (True, 1, None),
-    )
-    response = await async_client.post(
-        "/api/v1/settings/api-key",
-        json={"api_key": "AIza-test"},
-    )
-    assert response.status_code == 200
-    assert response.json()["provider"] == "google_ai_studio"
+    assert response.status_code in (404, 405)
 
 
 # ---------------------------------------------------------------------------

frontend/src/lib/api.ts

@@ -2,13 +2,6 @@ const BASE_URL: string = import.meta.env.VITE_API_URL ?? ''
 
 // ── Types ─────────────────────────────────────────────────────────────────────
 
-export interface ApiKeyResponse {
-  valid: boolean
-  provider: string
-  model_count: number
-  error: string | null
-}
-
 export interface ModelInfo {
   model_id: string
   display_name: string
@@ -240,9 +233,6 @@ export const listProfiles = (): Promise<CorpusProfile[]> =>
 export const createCorpus = (input: CreateCorpusInput): Promise<Corpus> =>
   post('/api/v1/corpora', input)
 
-export const validateApiKey = (apiKey: string): Promise<ApiKeyResponse> =>
-  post('/api/v1/settings/api-key', { api_key: apiKey })
-
 export const listModels = (): Promise<ModelInfo[]> =>
   get('/api/v1/models')
 

frontend/src/pages/Admin.tsx

@@ -3,7 +3,6 @@ import {
   fetchCorpora,
   listProfiles,
   createCorpus,
-  validateApiKey,
   listModels,
   selectModel,
   ingestImages,
@@ -202,41 +201,27 @@ interface ModelSectionProps {
 }
 
 function ModelSection({ corpora, selectedCorpusId, onSelectCorpus }: ModelSectionProps) {
-  const [apiKey, setApiKey] = useState('')
-  const [validating, setValidating] = useState(false)
-  const [apiKeyValid, setApiKeyValid] = useState(false)
-  const [validateError, setValidateError] = useState<string | null>(null)
-  const [validateInfo, setValidateInfo] = useState<string | null>(null)
   const [models, setModels] = useState<ModelInfo[]>([])
+  const [loadingModels, setLoadingModels] = useState(true)
+  const [loadError, setLoadError] = useState<string | null>(null)
   const [selectedModelId, setSelectedModelId] = useState('')
   const [savingModel, setSavingModel] = useState(false)
   const [saveError, setSaveError] = useState<string | null>(null)
   const [saveSuccess, setSaveSuccess] = useState<string | null>(null)
 
-  const handleValidate = async (e: FormEvent) => {
-    e.preventDefault()
-    setValidateError(null)
-    setValidateInfo(null)
-    setApiKeyValid(false)
-    setModels([])
-    setValidating(true)
-    try {
-      const resp = await validateApiKey(apiKey)
-      if (resp.valid) {
-        setApiKeyValid(true)
-        setValidateInfo(`Clé valide — ${resp.model_count} modèle(s) détecté(s)`)
-        const ms = await listModels()
+  useEffect(() => {
+    setLoadingModels(true)
+    setLoadError(null)
+    listModels()
+      .then((ms) => {
         setModels(ms)
         if (ms.length > 0) setSelectedModelId(ms[0].model_id)
-      } else {
-        setValidateError(resp.error ?? 'Clé API invalide')
-      }
-    } catch (err) {
-      setValidateError(err instanceof Error ? err.message : 'Erreur inconnue')
-    } finally {
-      setValidating(false)
-    }
-  }
+      })
+      .catch((err) => {
+        setLoadError(err instanceof Error ? err.message : 'Erreur inconnue')
+      })
+      .finally(() => setLoadingModels(false))
+  }, [])
 
   const handleSelectModel = async (e: FormEvent) => {
     e.preventDefault()
@@ -266,35 +251,25 @@ function ModelSection({ corpora, selectedCorpusId, onSelectCorpus }: ModelSectio
       <h2 className="text-lg font-semibold text-stone-800 mb-6">Configurer le modèle IA</h2>
       <CorpusSelector corpora={corpora} value={selectedCorpusId} onChange={onSelectCorpus} />
 
-      {/* Validation clé API */}
-      <form onSubmit={(e) => void handleValidate(e)} className="space-y-4 max-w-md mb-8">
-        <div>
-          <label className="block text-xs font-semibold text-stone-500 uppercase tracking-wide mb-1">
-            Clé API Google AI
-          </label>
-          <input
-            type="password"
-            value={apiKey}
-            onChange={(e) => setApiKey(e.target.value)}
-            required
-            autoComplete="off"
-            placeholder="AIza…"
-            className="border border-stone-300 rounded px-3 py-2 text-sm w-full font-mono focus:outline-none focus:ring-2 focus:ring-stone-400"
-          />
-        </div>
-        {validateError && <ErrorMsg message={validateError} />}
-        {validateInfo && <SuccessMsg message={validateInfo} />}
-        <button
-          type="submit"
-          disabled={validating || !apiKey}
-          className="bg-stone-800 text-white px-5 py-2 rounded text-sm font-medium hover:bg-stone-700 disabled:opacity-50 disabled:cursor-not-allowed transition-colors"
-        >
-          {validating ? 'Vérification…' : 'Vérifier la clé'}
-        </button>
-      </form>
+      {loadingModels && (
+        <p className="text-sm text-stone-400">Chargement des modèles disponibles…</p>
+      )}
+
+      {!loadingModels && loadError && (
+        <ErrorMsg message={loadError} />
+      )}
+
+      {!loadingModels && !loadError && models.length === 0 && (
+        <p className="text-sm text-amber-600 bg-amber-50 border border-amber-200 rounded px-3 py-2">
+          Aucun modèle détecté. Vérifiez que les secrets{' '}
+          <code className="font-mono">AI_PROVIDER</code> et{' '}
+          <code className="font-mono">VERTEX_API_KEY</code> (ou{' '}
+          <code className="font-mono">GOOGLE_AI_STUDIO_API_KEY</code>) sont bien configurés
+          dans les secrets HuggingFace.
+        </p>
+      )}
 
-      {/* Sélection du modèle */}
-      {apiKeyValid && models.length > 0 && (
+      {!loadingModels && models.length > 0 && (
         <form onSubmit={(e) => void handleSelectModel(e)} className="space-y-4 max-w-md">
           <div>
             <label className="block text-xs font-semibold text-stone-500 uppercase tracking-wide mb-1">