Apa itu API key dan cara menyimpannya dengan aman

Anda mendaftar untuk AI API dan hal pertama yang diminta adalah key. Panduan ini menjelaskan apa itu API key, dari mana asalnya, cara menjaganya tetap aman, dan apa yang harus dilakukan jika key tersebut berakhir di tempat yang seharusnya tidak.

Apa itu API key#

API key adalah string panjang berisi huruf dan angka yang memberi tahu layanan siapa yang mengirim permintaan. Anggap saja sebagai kata sandi untuk program: skrip Anda mengirim key dengan setiap permintaan, dan layanan menggunakannya untuk menemukan akun Anda dan mengambil biaya permintaan dari saldo Anda.

Dua hal mengikuti dari itu:

• Siapa pun yang memiliki key dapat membelanjakan saldo Anda. Layanan tidak dapat membedakan Anda dari seseorang yang menyalin key Anda.
• Key bukanlah model dan bukan saldo. Itu hanya pass. Saldo adalah hal terpisah yang Anda isi ulang, dan key yang sama berfungsi dengan model apa pun yang dapat digunakan akun Anda.

Biaya permintaan dihitung dalam token. Jika token masih baru bagi Anda, mulailah dengan What is a token in AI?.

Dari mana mendapatkan key#

Setiap layanan AI menerbitkan key dari dasbornya sendiri. Misalnya, API resmi DeepSeek memiliki halaman API keys di platform.deepseek.com/api_keys, dan dokumentasinya membaca key dari variabel lingkungan DEEPSEEK_API_KEY (diperiksa pada 21 Oktober 2026). Alur umumnya hampir sama di mana-mana:

1. Buat akun.
2. Buka halaman API keys di dasbor.
3. Tekan tombol yang membuat key baru dan beri nama, misalnya my-first-script.
4. Salin key segera. Banyak layanan hanya menampilkannya sekali.

Dengan CheapTokens, langkah-langkah dari akun hingga key ada di Your first API request with CheapTokens. CheapTokens bekerja dari saldo USD prabayar: satu saldo untuk semua model. Jika permintaan gagal karena saldo kosong, lihat "Not enough tokens" error.

Di mana key tidak boleh berada#

Sebagian besar kebocoran bukanlah peretasan. Itu adalah kesalahan salin-tempel:

• key yang ditulis langsung di kode (api_key="sk-...") lalu di-push ke GitHub;
• key dalam tangkapan layar, pesan chat, atau pertanyaan di forum;
• key dalam kode front-end (halaman web atau aplikasi seluler): siapa pun dapat membukanya dan membacanya;
• file .env yang di-commit ke git.

Yang terakhir adalah yang paling umum. Bahkan jika Anda menghapus file di commit berikutnya, key tetap ada di riwayat git, jadi key yang pernah di-commit harus dianggap bocor.

Simpan key di variabel lingkungan#

Variabel lingkungan adalah nilai bernama yang berada di sistem Anda, bukan di kode Anda. Program membacanya saat mulai, sehingga kode dapat dibagikan dengan aman dan key tetap di mesin Anda.

Di Linux atau macOS, atur untuk terminal saat ini:

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

Di Windows PowerShell:

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

Ini berlaku sampai Anda menutup terminal. Untuk menyimpannya antar sesi, letakkan baris tersebut di profil shell Anda, atau gunakan file .env untuk proyek dan tambahkan ke .gitignore sebelum commit pertama:

# .gitignore
.env

Kemudian baca key di kode. Jangan pernah mengetiknya di sana:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

Jika variabel tidak ada, os.environ[...] menghentikan program dengan error segera, yang lebih baik daripada mengirim permintaan dengan key kosong.

Lakukan panggilan pertama#

CheapTokens mendukung format OpenAI Chat Completions dan Anthropic Messages, jadi SDK standar berfungsi: Anda hanya mengubah base URL dan key. Berikut adalah pengujian lengkap dengan MiniMaxAI/MiniMax-M2.7:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

Hal yang sama dengan curl, di mana shell menggantikan variabel dan key tidak pernah muncul di perintah:

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

Pengujian singkat seperti ini murah. Misalnya, permintaan dengan 1.000 token input dan 500 token output berbiaya $0.00013 pada harga saat ini. MiniMax-M2.7 juga memiliki konteks 180K dan memberikan jawaban hingga 8.192 token, sehingga menjadi model yang nyaman untuk eksperimen pertama. Jika jawaban berhenti di tengah kalimat, lihat Why does an AI answer stop mid-sentence?.

Salin id model dari dokumentasi CheapTokens, bukan dari layanan lain: nama model berbeda antar penyedia.

Kebiasaan yang menjaga key tetap aman#

• Satu key per proyek. Jika satu bocor, Anda hanya mengganti yang itu dan tidak ada yang lain berhenti berfungsi.
• Beri nama key yang menunjukkan di mana key digunakan (laptop-script, telegram-bot), sehingga Anda tahu apa yang harus diperbarui setelah penggantian.
• Jaga saldo tetap kecil saat Anda belajar. Dengan saldo prabayar, kerusakan dari key yang bocor dibatasi oleh isinya, tetapi itu tetap uang Anda.
• Jangan tempel key ke chat dengan orang atau asisten AI, dan potong dari log dan tangkapan layar.
• Jangan letakkan key di browser atau aplikasi seluler. Panggil API dari server yang Anda kendalikan, dan biarkan aplikasi berbicara dengan server itu.

Apa yang harus dilakukan jika key bocor#

Jika Anda mem-push key ke repositori publik, mengirimnya dalam pesan, atau hanya tidak yakin, bertindaklah seolah-olah key itu sudah ada di tangan orang lain:

1. Cabut key terlebih dahulu. Buka halaman tempat Anda membuatnya dan hapus atau nonaktifkan. Lakukan ini sebelum hal lain; pembersihan menyusul.
2. Buat key baru dengan nama baru.
3. Ganti di mana pun key itu digunakan: variabel lingkungan, file .env, server, aplikasi, dan alat.
4. Periksa saldo dan penggunaan Anda. Permintaan yang tidak Anda buat adalah tanda bahwa key lama digunakan.
5. Bersihkan sumbernya. Hapus key dari kode dan tambahkan .env ke .gitignore. Menghapus file tidak menghapus key dari riwayat git, itulah sebabnya langkah 1 lebih penting daripada menulis ulang riwayat.

Urutannya penting. Key yang dicabut tidak berbahaya bahkan jika tetap ada di commit lama.

Langkah selanjutnya#

• Lakukan permintaan pertama Anda dengan key: Your first API request with CheapTokens.
• Pahami apa yang Anda bayar: What is a token in AI?.
• Isi ulang saldo saat habis: "Not enough tokens" error.

Siap mencobanya? Dapatkan key CheapTokens, atur sebagai CHEAPTOKENS_API_KEY dan jalankan contoh di atas.

Endpoint, id model, dan batas untuk setiap model ada di CheapTokens docs.