Uma chave de API (API key) é uma senha longa que identifica a sua conta quando um programa usa um modelo de IA pela API. Com ela o provedor sabe quem está pedindo e em quem lançar a cobrança. Por isso quem tiver a chave gasta em seu nome: guarde em segredo, como o cartão de crédito.
Uma pergunta do app. Escolha uma resposta.
O servidor pede uma chave de acesso. Onde você guarda?
O que é versionado fica no histórico e viaja com cada cópia do repo. A chave também.
A conexão pode usá-la sem que fique num arquivo versionado. Se alguém copiar o repo, não leva a chave.
Mudar o nome não esconde: ela continua no repo para quem ler.
Você cria no painel do provedor, e ela é uma sequência longa de letras e números. Muitos provedores mostram a chave uma vez só, então você copia na hora. Diferente da sua senha, ninguém digita: o seu programa manda sozinho em cada pedido para a API de IA, em um cabeçalho.
Cada pedido usa tokens do modelo, e cada token é cobrado. Se alguém copiar a sua chave, os pedidos dela são cobrados na sua conta, e dá para fazer milhares em uma noite.
POST /v1/responses HTTP/1.1
Host: api.example.com
Authorization: Bearer sk-FAKE-1234-this-is-not-a-real-key
Content-Type: application/json
{ "model": "some-model", "input": "Hello" }Fica em uma variável de ambiente do seu servidor, ou em um arquivo .env que não vai para o repositório. O código lê a variável e nunca tem a chave escrita.
Nunca no código nem em um repositório: mesmo que você apague depois, ela fica no histórico, e existem programas que vasculham repos públicos procurando chaves. Nunca no frontend: o que roda numa página web ou num app de celular pode ser aberto e lido. O app pede ao seu servidor, e o servidor pede à API.
# .env
AI_API_KEY=sk-FAKE-1234-this-is-not-a-real-key
// server.js
const key = process.env.AI_API_KEY;Revogue no painel do provedor e crie outra; mudar o nome ou apagar do repo não basta. Depois coloque a nova onde deve ficar e olhe o painel de uso, caso alguém já tenha usado.
Para um erro sair barato: uma chave por projeto (se uma vazar, você revoga só ela), um limite de gasto mensal e um alerta antes de chegar nele. E se você trabalha com um agente de código, confira que ele não copie a chave em um arquivo que vai para o repo.