ما هو مفتاح API وكيف تخزنه بأمان

لقد سجّلت في واجهة برمجة تطبيقات للذكاء الاصطناعي وأول ما تطلبه منك هو مفتاح. يشرح هذا الدليل ما هو مفتاح API، ومن أين يأتي، وكيف تحافظ على أمانه، وما يجب فعله إذا انتهى به المطاف في مكان لا يجب أن يكون فيه.

ما هو مفتاح API#

مفتاح API هو سلسلة طويلة من الحروف والأرقام تخبر الخدمة بمن يرسل الطلب. اعتبره كلمة مرور للبرامج: يرسل سكربتك المفتاح مع كل طلب، وتستخدمه الخدمة للعثور على حسابك وخصم تكلفة الطلب من رصيدك.

ينتج عن ذلك أمران:

• من يملك المفتاح يمكنه إنفاق رصيدك. لا تستطيع الخدمة التمييز بينك وبين من نسخ مفتاحك.
• المفتاح ليس النموذج وليس الرصيد. إنه مجرد تصريح المرور. الرصيد شيء منفصل تشحنه، ويعمل المفتاح نفسه مع أي نموذج يستطيع حسابك استخدامه.

تُحتسب تكلفة الطلب بالرموز (tokens). إذا كانت الرموز جديدة عليك، فابدأ بـ What is a token in AI?.

من أين تحصل على مفتاح#

تصدر كل خدمة ذكاء اصطناعي مفاتيحها من لوحة التحكم الخاصة بها. على سبيل المثال، لواجهة DeepSeek الرسمية صفحة مفاتيح API على platform.deepseek.com/api_keys، وتقرأ وثائقها المفتاح من متغير البيئة DEEPSEEK_API_KEY (تم التحقق في 21 أكتوبر 2026). التدفق العام هو نفسه في كل مكان تقريبًا:

1. أنشئ حسابًا.
2. افتح صفحة مفاتيح API في لوحة التحكم.
3. اضغط الزر الذي ينشئ مفتاحًا جديدًا وأعطه اسمًا، مثل my-first-script.
4. انسخ المفتاح فورًا. تعرضه许多 الخدمات مرة واحدة فقط.

مع CheapTokens، الخطوات من الحساب إلى المفتاح موجودة في Your first API request with CheapTokens. يعمل CheapTokens من رصيد أمريكي مدفوع مسبقًا: رصيد واحد لجميع النماذج. إذا فشل طلب لأن الرصيد فارغ، راجع "Not enough tokens" error.

حيث يجب ألا يكون المفتاح أبدًا#

معظم التسريبات ليست اختراقات. إنها أخطاء نسخ ولصق:

• مفتاح مكتوب مباشرة في الكود (api_key="sk-...") ثم يُدفع إلى GitHub؛
• مفتاح في لقطة شاشة أو رسالة دردشة أو سؤال على منتدى؛
• مفتاح في كود الواجهة الأمامية (صفحة ويب أو تطبيق جوال): يمكن لأي شخص فتحه وقراءته؛
• ملف .env تم إيداعه في git.

الأخير هو الأكثر شيوعًا. حتى إذا حذفت الملف في الإيداع التالي، يبقى المفتاح في تاريخ git، لذا يجب التعامل مع أي مفتاح تم إيداعه يومًا ما على أنه مسرّب.

خزّن المفتاح في متغير بيئة#

متغير البيئة هو قيمة مسماة تعيش في نظامك، لا في كودك. يقرأه البرنامج عند بدء التشغيل، لذا يمكن مشاركة الكود بأمان ويبقى المفتاح على جهازك.

في Linux أو macOS، عيّنه للطرفية الحالية:

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

في Windows PowerShell:

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

يستمر هذا حتى تغلق الطرفية. للاحتفاظ به بين الجلسات، ضع السطر في ملف تعريف shell الخاص بك، أو استخدم ملف .env للمشروع وأضفه إلى .gitignore قبل الإيداع الأول:

# .gitignore
.env

ثم اقرأ المفتاح في الكود. لا تكتبه هناك أبدًا:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

إذا كان المتغير مفقودًا، يوقف os.environ[...] البرنامج بخطأ فورًا، وهذا أفضل من إرسال طلب بمفتاح فارغ.

قم بأول استدعاء#

يتحدث CheapTokens بصيغ OpenAI Chat Completions وAnthropic Messages، لذا تعمل حزم SDK القياسية: تغيّر فقط عنوان URL الأساسي والمفتاح. إليك اختبار كامل باستخدام MiniMaxAI/MiniMax-M2.7:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

الشيء نفسه مع curl، حيث يستبدل shell المتغير ولا يظهر المفتاح أبدًا في الأمر:

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

اختبار قصير كهذا رخيص. على سبيل المثال، طلب بـ 1,000 رمز إدخال و500 رمز إخراج يكلف $0.00013 بالسعر الحالي. يمتلك MiniMax-M2.7 أيضًا سياقًا بحجم 180K ويعطي إجابات تصل إلى 8,192 رمزًا، لذا فهو نموذج مريح للتجارب الأولى. إذا توقفت الإجابة في منتصف الجملة، راجع Why does an AI answer stop mid-sentence?.

انسخ معرّف النموذج من وثائق CheapTokens وليس من خدمة أخرى: تختلف أسماء النماذج بين المزوّدين.

عادات تحافظ على أمان المفتاح#

• مفتاح واحد لكل مشروع. إذا تسرّب أحدها، تستبدل ذلك المفتاح فقط ولا يتوقف أي شيء آخر عن العمل.
• أعطِ المفاتيح أسماء تدل على مكان استخدامها (laptop-script، telegram-bot)، حتى تعرف ما يجب تحديثه بعد الاستبدال.
• أبقِ الرصيد صغيرًا أثناء التعلم. مع رصيد مدفوع مسبقًا، يكون الضرر الناتج عن مفتاح مسرّب محدودًا بما فيه، لكنه يظل مالك.
• لا تلصق المفاتيح في الدردشات مع الأشخاص أو مساعدي الذكاء الاصطناعي، واحذفها من السجلات ولقطات الشاشة.
• لا تضع المفتاح في متصفح أو تطبيق جوال. استدعِ API من خادم تتحكم فيه، ودع التطبيق يتحدث إلى ذلك الخادم.

ماذا تفعل إذا تسرّب مفتاح#

إذا دفعت مفتاحًا إلى مستودع عام، أو أرسلته في رسالة، أو لم تكن متأكدًا فقط، فتصرف كما لو أنه في أيدي شخص آخر بالفعل:

1. ألغِ المفتاح أولًا. افتح الصفحة التي أنشأته فيها واحذفه أو عطّله. افعل هذا قبل أي شيء آخر؛ يأتي التنظيف بعد ذلك.
2. أنشئ مفتاحًا جديدًا باسم جديد.
3. استبدله في كل مكان استُخدم فيه: متغيرات البيئة، ملفات .env، الخوادم، التطبيقات والأدوات.
4. تحقق من رصيدك واستخدامك. الطلبات التي لم تُجرِها علامة على أن المفتاح القديم قد استُخدم.
5. نظّف المصدر. أزل المفتاح من الكود وأضف .env إلى .gitignore. حذف الملف لا يزيل المفتاح من تاريخ git، ولهذا تكون الخطوة 1 أهم من إعادة كتابة التاريخ.

الترتيب مهم. المفتاح الملغى غير ضار حتى لو بقي في إيداع قديم.

الخطوات التالية#

• قم بأول طلب لك باستخدام مفتاح: Your first API request with CheapTokens.
• افهم ما تدفع مقابله: What is a token in AI?.
• اشحن الرصيد عندما ينفد: "Not enough tokens" error.

مستعد لتجربته؟ احصل على مفتاح CheapTokens، عيّنه كـ CHEAPTOKENS_API_KEY وشغّل المثال أعلاه.

نقاط النهاية ومعرّفات النماذج والحدود لكل نموذج موجودة في CheapTokens docs.