Що таке API-ключ і як зберігати його безпечно

Ви зареєструвалися в AI API, і перше, що він запитує, — це ключ. Цей посібник пояснює, що таке API-ключ, звідки він береться, як його зберігати в безпеці та що робити, якщо він опинився там, де не повинен бути.

Що таке API-ключ#

API-ключ — це довгий рядок з літер і цифр, який повідомляє сервісу, хто надсилає запит. Уявіть його як пароль для програм: ваш скрипт надсилає ключ з кожним запитом, а сервіс використовує його, щоб знайти ваш обліковий запис і списати вартість запиту з вашого балансу.

З цього випливає два наслідки:

• Той, хто має ключ, може витрачати ваш баланс. Сервіс не може відрізнити вас від того, хто скопіював ваш ключ.
• Ключ — це не модель і не баланс. Це лише перепустка. Баланс — це окрема річ, яку ви поповнюєте, і той самий ключ працює з будь-якою моделлю, доступною вашому обліковому запису.

Вартість запиту обчислюється в токенах. Якщо токени для вас нові, почніть з Що таке токен в AI?.

Де отримати ключ#

Кожен AI-сервіс видає ключі зі своєї панелі керування. Наприклад, офіційний API DeepSeek має сторінку API-ключів за адресою platform.deepseek.com/api_keys, а його документація читає ключ із змінної середовища DEEPSEEK_API_KEY (перевірено 21 жовтня 2026 року). Загальний процес майже скрізь однаковий:

1. Створіть обліковий запис.
2. Відкрийте сторінку API-ключів у панелі керування.
3. Натисніть кнопку створення нового ключа та дайте йому назву, наприклад my-first-script.
4. Скопіюйте ключ одразу. Багато сервісів показують його лише один раз.

У CheapTokens кроки від створення облікового запису до отримання ключа описані в Ваш перший API-запит із CheapTokens. CheapTokens працює з передплаченого балансу в доларах США: один баланс для всіх моделей. Якщо запит не вдається через порожній баланс, дивіться Помилка «Not enough tokens».

Де ключ ніколи не повинен бути#

Більшість витоків — це не зломи. Це помилки копіювання:

• ключ, записаний безпосередньо в коді (api_key="sk-..."), а потім відправлений на GitHub;
• ключ на скріншоті, у повідомленні чату або в запитанні на форумі;
• ключ у фронтенд-коді (вебсторінка або мобільний застосунок): будь-хто може відкрити його та прочитати;
• файл .env, який було закомічено в git.

Останній випадок — найпоширеніший. Навіть якщо ви видалите файл у наступному коміті, ключ залишиться в історії git, тому ключ, який колись було закомічено, слід вважати скомпрометованим.

Зберігайте ключ у змінній середовища#

Змінна середовища — це іменоване значення, яке зберігається у вашій системі, а не в коді. Програма читає його під час запуску, тому код можна безпечно ділитися, а ключ залишається на вашій машині.

У Linux або macOS задайте її для поточного терміналу:

export CHEAPTOKENS_API_KEY="YOUR_API_KEY"

У Windows PowerShell:

$env:CHEAPTOKENS_API_KEY = "YOUR_API_KEY"

Це діє, доки ви не закриєте термінал. Щоб зберегти між сеансами, додайте рядок до профілю вашої оболонки або використовуйте файл .env для проєкту та додайте його до .gitignore перед першим комітом:

# .gitignore
.env

Потім читайте ключ у коді. Ніколи не вписуйте його туди:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],  # read from the environment, not written in the code
)

Якщо змінна відсутня, os.environ[...] негайно зупиняє програму з помилкою, що краще, ніж надсилати запит із порожнім ключем.

Зробіть перший виклик#

CheapTokens підтримує формати OpenAI Chat Completions та Anthropic Messages, тому стандартні SDK працюють: ви змінюєте лише базову URL-адресу та ключ. Ось повний тест із MiniMaxAI/MiniMax-M2.7:

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://api.cheaptokens.dev/v1",
    api_key=os.environ["CHEAPTOKENS_API_KEY"],
)

response = client.chat.completions.create(
    model="MiniMaxAI/MiniMax-M2.7",
    messages=[{"role": "user", "content": "Explain what an API key is in two sentences."}],
    max_tokens=200,
)

print(response.choices[0].message.content)

Те саме з curl, де оболонка підставляє змінну, і ключ ніколи не з'являється в команді:

curl https://api.cheaptokens.dev/v1/chat/completions \
  -H "Authorization: Bearer $CHEAPTOKENS_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model": "MiniMaxAI/MiniMax-M2.7", "messages": [{"role": "user", "content": "Hello"}], "max_tokens": 100}'

Такий короткий тест коштує недорого. Наприклад, запит із 1 000 вхідних токенів і 500 вихідних токенів коштує $0.00013 за поточною ціною. MiniMax-M2.7 також має контекст 180K і дає відповіді до 8 192 токенів, тож це зручна модель для перших експериментів. Якщо відповідь обривається на півслові, дивіться Чому відповідь AI обривається на півслові?.

Копіюйте ідентифікатор моделі з документації CheapTokens, а не з іншого сервісу: назви моделей відрізняються між постачальниками.

Звички, які зберігають ключ у безпеці#

• Один ключ на проєкт. Якщо один витече, ви заміните лише його, і ніщо інше не перестане працювати.
• Давайте ключам назви, які вказують, де вони використовуються (laptop-script, telegram-bot), щоб ви знали, що оновлювати після заміни.
• Тримайте баланс невеликим, поки вчитеся. З передплаченим балансом збитки від витоку ключа обмежені тим, що на ньому є, але це все одно ваші гроші.
• Не вставляйте ключі в чати з людьми або AI-асистентами та вирізайте їх із логів і скріншотів.
• Не розміщуйте ключ у браузері або мобільному застосунку. Викликайте API з сервера, який ви контролюєте, і нехай застосунок спілкується з цим сервером.

Що робити, якщо ключ витік#

Якщо ви відправили ключ у публічний репозиторій, надіслали його в повідомленні або просто не впевнені, дійте так, ніби він уже в чужих руках:

1. Спочатку відкличте ключ. Відкрийте сторінку, де ви його створили, і видаліть або вимкніть його. Зробіть це передусім; прибирання — потім.
2. Створіть новий ключ з новою назвою.
3. Замініть його скрізь, де він використовувався: змінні середовища, файли .env, сервери, застосунки та інструменти.
4. Перевірте баланс і використання. Запити, яких ви не робили, — ознака того, що старий ключ використовувався.
5. Очистіть джерело. Видаліть ключ із коду та додайте .env до .gitignore. Видалення файлу не прибирає ключ з історії git, тому крок 1 важливіший за переписування історії.

Порядок важливий. Відкликаний ключ нешкідливий, навіть якщо він залишається в старому коміті.

Наступні кроки#

• Зробіть свій перший запит із ключем: Ваш перший API-запит із CheapTokens.
• Зрозумійте, за що ви платите: Що таке токен в AI?.
• Поповніть баланс, коли він закінчиться: Помилка «Not enough tokens».

Готові спробувати? Отримайте ключ CheapTokens, встановіть його як CHEAPTOKENS_API_KEY і запустіть наведений вище приклад.

Кінцеві точки, ідентифікатори моделей і обмеження для кожної моделі є в документації CheapTokens.