Ano ang API key at paano ito itago nang ligtas

Nag-sign up ka para sa isang AI API at ang unang hinihingi nito ay isang key. Ipinapaliwanag ng gabay na ito kung ano ang API key, saan ito galing, paano ito panatilihing ligtas at ano ang gagawin kung mapunta ito sa lugar na hindi dapat.

Ano ang API key#

Ang API key ay isang mahabang string ng mga letra at digit na nagsasabi sa serbisyo kung sino ang nagpapadala ng request. Isipin mo itong password para sa mga programa: ipinapadala ng iyong script ang key sa bawat request, at ginagamit ito ng serbisyo para hanapin ang iyong account at kunin ang gastos ng request mula sa iyong balance.

Dalawang bagay ang sumusunod mula doon:

• Sinumang may hawak ng key ay makakagastos ng iyong balance. Hindi ka matukoy ng serbisyo mula sa isang taong kumopya ng iyong key.
• Ang key ay hindi ang modelo at hindi ang balance. Pass lang ito. Ang balance ay hiwalay na bagay na nilalagyan mo ng laman, at ang parehong key ay gumagana sa anumang modelong magagamit ng iyong account.

Ang gastos ng isang request ay binibilang sa tokens. Kung bago sa iyo ang tokens, magsimula sa What is a token in AI?.

Saan makakakuha ng key#

Bawat AI service ay naglalabas ng keys mula sa sarili nitong dashboard. Halimbawa, ang opisyal na API ng DeepSeek ay may API keys page sa platform.deepseek.com/api_keys, at binabasa ng docs nito ang key mula sa DEEPSEEK_API_KEY environment variable (sinuri noong 21 Oktubre 2026). Halos pareho ang pangkalahatang daloy sa lahat ng lugar:

1. Gumawa ng account.
2. Buksan ang API keys page sa dashboard.
3. Pindutin ang button na gumagawa ng bagong key at bigyan ito ng pangalan, halimbawa my-first-script.
4. Kopyahin agad ang key. Ipinapakita ito ng maraming serbisyo nang isang beses lang.

Sa CheapTokens, ang mga hakbang mula account hanggang key ay nasa Your first API request with CheapTokens. Gumagana ang CheapTokens mula sa prepaid USD balance: isang balance para sa lahat ng modelo. Kung nabigo ang isang request dahil walang laman ang balance, tingnan ang "Not enough tokens" error.

Saan hindi dapat mapunta ang key#

Karamihan ng leak ay hindi hack. Mga pagkakamali sa copy-paste:

• isang key na direktang nakasulat sa code (api_key="sk-...") at pagkatapos ay na-push sa GitHub;
• isang key sa screenshot, chat message o tanong sa forum;
• isang key sa front-end code (isang web page o mobile app): kahit sino ay makakabukas at makakabasa nito;
• isang .env file na na-commit sa git.

Ang huli ang pinakakaraniwan. Kahit tanggalin mo ang file sa susunod na commit, nananatili ang key sa git history, kaya ang key na na-commit kahit minsan ay dapat ituring na leaked.

Itago ang key sa isang environment variable#

Ang environment variable ay isang pinangalanang value na nasa iyong system, hindi sa iyong code. Binabasa ito ng programa kapag nagsimula, kaya maaaring ibahagi nang ligtas ang code at nananatili ang key sa iyong machine.

Sa Linux o macOS, itakda ito para sa kasalukuyang terminal:

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

Sa Windows PowerShell:

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

Tumatagal ito hanggang isara mo ang terminal. Para mapanatili ito sa pagitan ng mga session, ilagay ang linya sa iyong shell profile, o gumamit ng .env file para sa proyekto at idagdag ito sa .gitignore bago ang unang commit:

# .gitignore
.env

Pagkatapos, basahin ang key sa code. Huwag kailanman i-type ito doon:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

Kung wala ang variable, agad na hinihinto ng os.environ[...] ang programa nang may error, na mas mabuti kaysa magpadala ng request na may walang laman na key.

Gumawa ng unang call#

Sinusuportahan ng CheapTokens ang OpenAI Chat Completions at Anthropic Messages na format, kaya gumagana ang mga standard SDK: babaguhin mo lang ang base URL at ang key. Narito ang isang buong test gamit ang MiniMaxAI/MiniMax-M2.7:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

Pareho rin sa curl, kung saan pinapalitan ng shell ang variable at hindi kailanman lumalabas ang key sa command:

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

Mura ang maikling test na tulad nito. Halimbawa, ang isang request na may 1,000 input tokens at 500 output tokens ay nagkakahalaga ng $0.00013 sa kasalukuyang presyo. Ang MiniMax-M2.7 ay mayroon ding 180K context at nagbibigay ng mga sagot na hanggang 8,192 tokens, kaya komportable itong modelo para sa mga unang eksperimento. Kung huminto ang sagot sa gitna ng pangungusap, tingnan ang Why does an AI answer stop mid-sentence?.

Kopyahin ang model id mula sa CheapTokens docs sa halip na mula sa ibang serbisyo: nagkakaiba ang mga pangalan ng modelo sa pagitan ng mga provider.

Mga gawi na nagpapanatiling ligtas ang key#

• Isang key bawat proyekto. Kung may ma-leak, iyon lang ang papalitan mo at walang ibang titigil sa paggana.
• Bigyan ng pangalan ang mga key na nagsasabi kung saan ginagamit ang mga ito (laptop-script, telegram-bot), para alam mo kung ano ang ia-update pagkatapos ng pagpapalit.
• Panatilihing maliit ang balance habang nag-aaral ka. Sa prepaid balance, limitado ang pinsala mula sa leaked key sa kung ano ang nasa loob nito, pero pera mo pa rin iyon.
• Huwag i-paste ang mga key sa mga chat kasama ng mga tao o AI assistant, at alisin ang mga ito sa mga log at screenshot.
• Huwag ilagay ang key sa browser o mobile app. Tumawag sa API mula sa server na kontrolado mo, at hayaang ang app ang makipag-usap sa server na iyon.

Ano ang gagawin kung na-leak ang key#

Kung na-push mo ang key sa isang public repository, naipadala ito sa isang mensahe o hindi ka lang sigurado, kumilos na parang nasa kamay na ito ng ibang tao:

1. I-revoke muna ang key. Buksan ang page kung saan mo ito ginawa at i-delete o i-disable ito. Gawin ito bago ang anupaman; pagkatapos ang paglilinis.
2. Gumawa ng bagong key na may bagong pangalan.
3. Palitan ito sa lahat ng lugar kung saan ito ginamit: environment variables, .env files, servers, apps at tools.
4. Suriin ang iyong balance at usage. Ang mga request na hindi mo ginawa ay senyales na ginamit ang lumang key.
5. Linisin ang source. Alisin ang key sa code at idagdag ang .env sa .gitignore. Hindi inaalis ng pag-delete ng file ang key sa git history, kaya mas mahalaga ang hakbang 1 kaysa sa muling pagsulat ng history.

Mahalaga ang pagkakasunod-sunod. Ang revoked key ay walang pinsala kahit manatili ito sa isang lumang commit.

Mga susunod na hakbang#

• Gawin ang iyong unang request gamit ang key: Your first API request with CheapTokens.
• Unawain kung ano ang binabayaran mo: What is a token in AI?.
• Lagyan ng laman ang balance kapag naubos ito: "Not enough tokens" error.

Handa nang subukan? Kumuha ng CheapTokens key, itakda ito bilang CHEAPTOKENS_API_KEY at patakbuhin ang halimbawa sa itaas.

Ang mga endpoint, model id at limit para sa bawat modelo ay nasa CheapTokens docs.