Словарь ИИ
Что такое API-ключ
Коротко
API-ключ это секретная строка, по которой сервис нейросети узнает, какая программа к нему обращается и с чьего счета списать оплату за запросы.
Инфраструктура · API key
Михаил МозгПроверено: 1 минута чтения
Ребенку
Представь ключ от шкафчика в школьной раздевалке. Пока он у тебя, никто не возьмет твою куртку. Если ключ потерять или отдать чужому, в шкафчик сможет залезть кто угодно. У программ тоже бывают такие ключи от умных помощников. Их хранят в надежном месте, никому не показывают и сразу меняют замок, если ключ пропал.
Простыми словами
Когда ваша программа обращается к облачной нейросети, она прикладывает к запросу длинную строку из букв и цифр. По ней сервис понимает, кто пришел, что этому клиенту разрешено и с чьего счета списать деньги. Ключ работает как пароль без логина: у кого он есть, тот и пользуется вашим доступом. Поэтому его не вставляют в код сайта или мобильного приложения, не пересылают в чатах и не выкладывают в общий репозиторий. Например, бот поддержки хранит ключ на сервере компании, а браузер покупателя его никогда не видит.
Для бизнеса
Утечка ключа означает чужие запросы за ваш счет и доступ к данным, которые проходят через этот аккаунт. Отсюда простые правила. У каждого сотрудника и каждой системы свой ключ, отдельные ключи для разработки, тестов и рабочей среды, чтобы отключить один и не остановить остальное. Ключи держат в хранилище секретов, а не в файлах настроек, и регулярно меняют: Anthropic в рекомендациях приводит пример раз в 90 дней. Для аккаунта ставят лимит расходов и следят за графиком потребления, ведь резкий всплеск часто первый признак утечки. Когда сотрудник или подрядчик уходит, его ключи отзывают в тот же день. Эти правила закрепляют в политике использования ИИ до запуска первого агента.
Для специалиста
API-ключ (API key) это долгоживущий секрет-предъявитель (bearer credential): сервер пропускает запрос по самому факту предъявления строки, обычно в HTTP-заголовке, без доказательства владения. Поэтому главные каналы компрометации прозаичны: запись прямо в исходный код, коммит в репозиторий, журналы и URL. Google Cloud в рекомендациях советует не передавать ключ в параметрах запроса, где он попадает в адрес, убирать его из клиентского кода и проксировать вызовы через свой сервер, добавлять ограничения на применение, удалять неиспользуемые ключи и для большинства API заменять их в рабочей среде краткоживущими учетными данными сервисных аккаунтов и IAM. Секреты держат в KMS или менеджере секретов, ротируют по расписанию и разделяют по средам. Обнаружение утечек строится на сканировании: GitHub secret scanning проверяет всю историю Git на всех ветках и передает найденные партнерские секреты их поставщикам; Anthropic по такому сигналу автоматически деактивирует опубликованный ключ.
Пример
Разработчик случайно отправил в публичный репозиторий файл настроек с ключом от облачной модели. Сервис сканирования нашел ключ, поставщик отключил его и прислал письмо, а команда сразу выпустила новый ключ и перенесла его в хранилище секретов.
Связанные термины
Вопросы и ответы
Что делать, если API-ключ утек?
Где хранить API-ключ?
Источники
Где это применяют в компании
Не уверены, нужно ли это вашей компании?
Карта ИИ-решений