API anahtarı nedir ve nasıl güvenle saklanır

Bir AI API'sine kaydoldunuz ve ilk istediği şey bir anahtar. Bu rehber, API anahtarının ne olduğunu, nereden geldiğini, nasıl güvende tutulacağını ve olmaması gereken bir yere düşerse ne yapılacağını açıklar.

API anahtarı nedir#

API anahtarı, hizmete isteği kimin gönderdiğini söyleyen uzun bir harf ve rakam dizisidir. Bunu programlar için bir parola olarak düşünün: betiğiniz her istekle birlikte anahtarı gönderir, hizmet de bu anahtarla hesabınızı bulur ve isteğin maliyetini bakiyenizden düşer.

Bundan iki sonuç çıkar:

• Anahtara sahip olan herkes bakiyenizi harcayabilir. Hizmet, sizi anahtarınızı kopyalayan birinden ayırt edemez.
• Anahtar ne modeldir ne de bakiyedir. Yalnızca geçiştir. Bakiye, yükleme yaptığınız ayrı bir şeydir ve aynı anahtar, hesabınızın kullanabildiği her modelle çalışır.

Bir isteğin maliyeti token cinsinden hesaplanır. Token'lar sizin için yeniyse, What is a token in AI? ile başlayın.

Anahtar nereden alınır#

Her AI hizmeti anahtarları kendi panosundan verir. Örneğin, DeepSeek'in resmi API'sinin platform.deepseek.com/api_keys adresinde bir API anahtarları sayfası vardır ve belgeleri anahtarı DEEPSEEK_API_KEY ortam değişkeninden okur (21 Ekim 2026'da kontrol edildi). Genel akış neredeyse her yerde aynıdır:

1. Bir hesap oluşturun.
2. Panodaki API anahtarları sayfasını açın.
3. Yeni bir anahtar oluşturan düğmeye basın ve ona bir ad verin, örneğin my-first-script.
4. Anahtarı hemen kopyalayın. Birçok hizmet onu yalnızca bir kez gösterir.

CheapTokens ile hesaptan anahtara giden adımlar Your first API request with CheapTokens içinde. CheapTokens ön ödemeli USD bakiyesiyle çalışır: tüm modeller için tek bakiye. Bakiye boş olduğu için bir istek başarısız olursa, "Not enough tokens" error sayfasına bakın.

Anahtarın asla bulunmaması gereken yerler#

Çoğu sızıntı hack değildir. Kopyala-yapıştır hatalarıdır:

• doğrudan kodun içine yazılmış (api_key="sk-...") ve ardından GitHub'a gönderilmiş bir anahtar;
• bir ekran görüntüsünde, sohbet mesajında veya bir forumdaki soruda yer alan anahtar;
• ön uç kodunda (bir web sayfası veya mobil uygulama) bulunan anahtar: herkes açıp okuyabilir;
• git'e commit edilmiş bir .env dosyası.

Sonuncusu en yaygın olanıdır. Dosyayı bir sonraki commit'te silseniz bile anahtar git geçmişinde kalır, bu yüzden bir kez commit edilmiş bir anahtar sızmış olarak kabul edilmelidir.

Anahtarı bir ortam değişkeninde saklayın#

Ortam değişkeni, kodunuzda değil sisteminizde yaşayan adlandırılmış bir değerdir. Program onu başlarken okur, böylece kod güvenle paylaşılabilir ve anahtar makinenizde kalır.

Linux veya macOS'ta, geçerli terminal için ayarlayın:

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

Windows PowerShell'de:

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

Bu, terminali kapatana kadar sürer. Oturumlar arasında korumak için satırı kabuk profilinize ekleyin veya proje için bir .env dosyası kullanın ve ilk commit'ten önce .gitignore dosyasına ekleyin:

# .gitignore
.env

Ardından anahtarı kodda okuyun. Asla oraya yazmayın:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

Değişken eksikse, os.environ[...] programı hemen bir hatayla durdurur; bu, boş bir anahtarla istek göndermekten daha iyidir.

İlk çağrıyı yapın#

CheapTokens, OpenAI Chat Completions ve Anthropic Messages formatlarını konuşur, bu yüzden standart SDK'lar çalışır: yalnızca temel URL'yi ve anahtarı değiştirirsiniz. İşte MiniMaxAI/MiniMax-M2.7 ile tam bir test:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

Aynısı curl ile, burada kabuk değişkeni yerine koyar ve anahtar komutta asla görünmez:

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

Bunun gibi kısa bir test ucuzdur. Örneğin, 1.000 giriş token'ı ve 500 çıkış token'ı içeren bir istek mevcut fiyatla $0.00013 tutar. MiniMax-M2.7 ayrıca 180K bağlam sunar ve 8.192 token'a kadar yanıt verir, bu yüzden ilk denemeler için rahat bir modeldir. Yanıt cümle ortasında durursa, Why does an AI answer stop mid-sentence? sayfasına bakın.

Model kimliğini başka bir hizmetten değil, CheapTokens belgelerinden kopyalayın: model adları sağlayıcılar arasında farklılık gösterir.

Anahtarı güvende tutan alışkanlıklar#

• Her proje için bir anahtar. Biri sızarsa, yalnızca onu değiştirirsiniz ve başka hiçbir şey çalışmayı bırakmaz.
• Anahtarlara nerede kullanıldıklarını söyleyen adlar verin (laptop-script, telegram-bot), böylece bir değişiklikten sonra neyi güncelleyeceğinizi bilirsiniz.
• Öğrenirken bakiyeyi küçük tutun. Ön ödemeli bir bakiyeyle, sızmış bir anahtarın vereceği zarar üzerindeki miktarla sınırlıdır, ama bu yine de sizin paranızdır.
• Anahtarları kişilerle veya AI asistanlarıyla sohbetlere yapıştırmayın ve günlüklerden ve ekran görüntülerinden çıkarın.
• Anahtarı bir tarayıcıya veya mobil uygulamaya koymayın. API'yi kontrol ettiğiniz bir sunucudan çağırın ve uygulamanın o sunucuyla konuşmasını sağlayın.

Anahtar sızarsa ne yapmalı#

Bir anahtarı herkese açık bir depoya gönderdiyseniz, bir mesajda yolladıysanız veya emin değilseniz, sanki zaten başkasının elindeymiş gibi davranın:

1. Önce anahtarı iptal edin. Onu oluşturduğunuz sayfayı açın ve silin veya devre dışı bırakın. Bunu her şeyden önce yapın; temizlik sonra gelir.
2. Yeni bir adla yeni bir anahtar oluşturun.
3. Kullanıldığı her yerde değiştirin: ortam değişkenleri, .env dosyaları, sunucular, uygulamalar ve araçlar.
4. Bakiyenizi ve kullanımınızı kontrol edin. Yapmadığınız istekler, eski anahtarın kullanıldığının işaretidir.
5. Kaynağı temizleyin. Anahtarı koddan kaldırın ve .gitignore dosyasına .env ekleyin. Dosyayı silmek anahtarı git geçmişinden kaldırmaz, bu yüzden 1. adım geçmişi yeniden yazmaktan daha önemlidir.

Sıra önemlidir. İptal edilmiş bir anahtar, eski bir commit'te kalsa bile zararsızdır.

Sonraki adımlar#

• Bir anahtarla ilk isteğinizi yapın: Your first API request with CheapTokens.
• Neye ödeme yaptığınızı anlayın: What is a token in AI?.
• Bakiye tükendiğinde yükleyin: "Not enough tokens" error.

Denemeye hazır mısınız? Bir CheapTokens anahtarı alın, onu CHEAPTOKENS_API_KEY olarak ayarlayın ve yukarıdaki örneği çalıştırın.

Her model için uç noktalar, model kimlikleri ve sınırlar CheapTokens docs içinde.