Confier à un assistant IA ou à un script l’accès à un service payant soulève deux questions légitimes : qu’est-ce qui l’empêche de dépenser sans demander, et que se passe-t-il si la clé fuite ? La CLI et le serveur MCP de Yeşilçam Studios répondent aux deux par une même conception. Toute opération qui consomme des jetons renvoie d’abord un prix et ne débite rien, et chaque clé API est limitée dans ce qu’elle peut faire. Ce guide explique les deux, pour que vous puissiez décider de la liberté accordée à votre assistant. L’installation est décrite dans le guide d’installation.

Pourquoi chaque outil payant renvoie-t-il d’abord un devis ?

Les outils qui consomment des jetons ne débitent jamais au premier appel. Ils renvoient un devis marqué quote_only_nothing_charged, avec le détail des lignes, le total, votre solde actuel et l’indication que vous pouvez payer ou non. L’assistant a pour consigne de vous montrer ce prix et de vous demander. Ce n’est qu’avec votre accord qu’il rappelle le même outil avec confirm=true, et ce n’est qu’à ce moment que le travail démarre et que les jetons sont déduits.

En pratique, la conversation se déroule ainsi : vous demandez une image en brouillon, l’assistant répond avec le prix et votre solde, vous dites oui, et il produit l’image. Si vous dites non, rien n’a été dépensé.

Les utilisations gratuites mensuelles incluses dans une offre payante apparaissent à 0 jeton dans le devis, et demandent malgré tout une validation, car elles entament un quota.

Comment fonctionne la validation dans le terminal ?

Lancez une commande payante sans option supplémentaire : la CLI affiche le devis et demande Spend about … tokens? [y/N]. Répondez y pour continuer. Pour les scripts, trois options existent :

  • --yes valide le prix annoncé sans poser de question.
  • --max-tokens <n> refuse le travail si le devis dépasse n, même avec --yes. Utilisez-la comme garde-fou dans chaque script.
  • --quote affiche seulement le prix, puis s’arrête.

Sans terminal interactif, ou avec --json, une commande payante sans --yes affiche le devis, ne débite rien et se termine avec le code 3. Un script peut donc distinguer « devis affiché, non validé » d’un travail terminé. Le code de sortie 2 signifie que vous n’êtes pas connecté.

yesilcam video create "ocean waves at sunset" --tier draft --duration 5 --quote
yesilcam image "a lighthouse at dusk, 35mm film" --tier draft --aspect 16:9 --max-tokens 50000 --yes --out lighthouse.png

L’assistant dispose de la même limite : demandez-lui de rester sous un certain nombre de jetons et il transmet max_tokens, ce qui fait refuser par l’outil tout ce qui coûte plus cher.

Qu’en est-il des prix et des remboursements ?

Les prix sont les mêmes que dans l’application, selon votre offre, et les travaux échoués sont remboursés automatiquement. yesilcam account pricing liste le prix en jetons de chaque opération et yesilcam account price donne le prix exact d’une opération pour votre offre. Deux fonctions ont leurs propres règles de dépense :

  • Les vidéos longues sont facturées chapitre par chapitre pendant leur production. Si vos jetons s’épuisent, la production se met en pause et vous la reprenez avec longvideo resume.
  • Les automatisations sont enregistrées avec un plafond mensuel. Valider une automatisation autorise des dépenses jusqu’à ce plafond, jamais au-delà.

Lecture seule ou Lecture et création ?

En créant une clé dans Compte → Développeur, vous choisissez son accès. Une clé Lecture seule voit votre compte, votre solde, les prix, votre bibliothèque et le statut de vos travaux, et peut télécharger les résultats. Elle ne peut rien créer, modifier, supprimer ni dépenser. Une clé Lecture et création peut en plus lancer des travaux et consommer des jetons, toujours en passant par le devis et la validation.

Le serveur MCP dispose d’un réglage distinct : lancé avec --read-only, il ne charge que les outils de lecture, même si la clé permettrait davantage. Utilisez une clé en lecture seule pour les scripts de suivi et les tableaux de bord, et une clé de création uniquement là où quelque chose doit réellement être produit.

Que ne peut jamais faire une clé API ?

Certaines actions restent dans l’application web, quel que soit l’accès de la clé :

  • supprimer le compte, ou changer son mot de passe ou son e-mail ;
  • payer, acheter des jetons ou des offres, ou activer les recharges automatiques des automatisations ;
  • créer ou révoquer des clés API ;
  • connecter des comptes de réseaux sociaux.

Une clé qui aurait fuité peut donc, au pire, dépenser les jetons déjà présents sur votre solde, en passant par les mêmes devis ; elle ne peut ni vous bloquer l’accès à votre compte ni acheter davantage.

Comment les clés sont-elles conservées, et comment en révoquer une ?

Sur votre ordinateur, la clé est enregistrée dans ~/.config/yesilcam/config.json, lisible par votre seul utilisateur, et elle n’est jamais affichée. De notre côté, seule une empreinte sécurisée de la clé est conservée, pas la clé elle-même : c’est pourquoi elle n’est montrée qu’une seule fois. Chaque clé peut expirer après 30, 90 ou 365 jours, ou jamais. Si une clé a pu fuiter, révoquez-la dans Compte → Développeur et créez-en une nouvelle. yesilcam logout retire seulement la clé d’un ordinateur ; la clé elle-même reste valable jusqu’à son expiration ou sa révocation.

Et la confidentialité, la sécurité ?

  • Vos médias sont privés. Les liens vers vos fichiers sont signés et expirent au bout de quelques heures ; le téléchargement via les outils les renouvelle. Un lien public ou une publication sur The Wall passe par une demande de partage, qui peut nécessiter une validation.
  • Personnes et personnages. Les personnages sont toujours des adultes, et les personnalités publiques réelles ne peuvent pas être utilisées. Votre propre photo ou vidéo n’est utilisée qu’avec un consentement explicite (photo_consent, video_consent) et après un contrôle de sécurité.
  • Offres. Certaines fonctions demandent Basic ou Pro, par exemple les niveaux cinéma, Story to Film et Flow (Pro), les vidéos de plus de 30 secondes (Basic) ou de plus de 60 secondes (Pro), et les automatisations (Basic). Les outils l’indiquent en termes simples.

Les bons réflexes avec un assistant

  • Annoncez votre budget dès le départ : « Demande-moi avant tout ce qui dépasse 100 000 jetons. »
  • Explorez au niveau brouillon, puis produisez les versions retenues à un niveau supérieur.
  • Demandez le solde au début et à la fin d’une session.
  • Donnez à chaque ordinateur ou serveur sa propre clé, avec la validité la plus courte possible, pour pouvoir en révoquer une sans toucher aux autres.

Questions fréquentes

L’assistant peut-il valider un devis de lui-même ? Les outils sont conçus pour qu’il doive rappeler avec une validation, et le serveur lui demande de vous consulter d’abord. Gardez une réponse humaine dans cette boucle pour tout ce qui coûte des jetons, et utilisez une clé en lecture seule là où rien ne doit être dépensé.

Pourquoi une utilisation mensuelle gratuite demande-t-elle quand même une validation ? Parce qu’elle consomme une partie du quota de votre offre. Le devis affiche 0 jeton pour que vous sachiez que rien n’est déduit de votre solde.

Une clé peut-elle acheter des jetons quand mon solde est épuisé ? Non. L’achat de jetons, d’offres et les recharges automatiques ne sont possibles que dans l’application web.