Où vivent les secrets

Un secret (clé d’API, mot de passe, jeton OAuth) n’a qu’une place dans n8n : les identifiants (credentials), chiffrés en base sous la clé maîtresse N8N_ENCRYPTION_KEY. Jamais dans un nœud Code, un paramètre, une expression ou une variable : ces endroits voyagent en clair dans les exports, dans Git et dans les données d’exécution.

• Sauvegardez la clé maîtresse à part, dans un coffre, pas à côté de la base. Une base restaurée sans sa clé donne des identifiants illisibles.
• Rotation : n8n distingue la clé maîtresse, fixe, d’une clé de données renouvelable. La rotation est active par défaut à partir de la 3.0 ; sur la 2.x, elle s’active par une variable d’environnement. Une fois les données réécrites avec cette clé, une version plus ancienne d’n8n ne sait plus les lire : sauvegardez avant.
• Coffre externe (édition Enterprise) : n8n lit les secrets dans HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, GCP Secrets Manager, 1Password ou Infisical, avec la syntaxe {{ $secrets.<coffre>.<secret> }}. Ces expressions ne fonctionnent que dans les champs d’identifiants.