OpenAI API keyの取得方法：料金設定から安全な保管・動作確認まで

1. ログインして、利用するプロジェクトを選ぶ

platform.openai.comを開き、アカウントを作成するか、ログインします。画面に表示される初期設定の案内に従ってください。OpenAIのクイックスタートからは、APIキーの管理画面に直接アクセスできます。

アカウントを社員証にたとえるなら、**組織（organization）**は会社、**プロジェクト（project）**はアプリごとに割り当てられた部屋です。APIキーは、ソフトウェアがその部屋に入るために使う認証情報に当たります。

組織の切り替えメニューで、利用する組織を選びます。続いて既存のプロジェクトを選択するか、組織のオーナーであれば、プロジェクトメニューの**Create project（プロジェクトを作成）**から必要事項を入力して作成します。website-testのように用途が分かる名前を付けておくと、管理しやすくなります。操作の詳細はOpenAIのプロジェクト管理ガイドに記載されています。

会社の業務で使う場合は、適切なプロジェクトに追加してもらうようオーナーに依頼してください。たまたまログイン済みだからという理由で、クライアント向けの連携を個人の請求先アカウントで始めるのは避けましょう。

2. OpenAI API keyを取得する

組織の設定画面でプロジェクトを選び、**API Keys（APIキー）を開いて、+ Create new secret key（新しいシークレットキーを作成）**を選択します。これで、選択したプロジェクトに紐づくキーが作成されます。プロジェクト用キーの作成手順も参照してください。

自分で最初の動作確認をする場合は、ユーザーが所有するプロジェクトキーを使います。名前の入力を求められたら、local-testなど、用途を見分けられる名前にします。権限は**Restricted（制限付き）を選び、アプリに必要な操作を有効にしてください。初期設定のAll（すべて）**はすべての操作を許可し、**Read Only（読み取り専用）**は読み取り操作だけを許可します。詳細はAPIキーの権限設定を確認してください。この記事の動作確認では、Responsesの作成を許可します。OpenAIでの権限名はapi.responses.writeです。Responses作成権限の説明に記載されています。

キーが表示されたら、すぐにコピーして安全な場所に保存します。OpenAIでキーの値をすべて確認できるのは、作成時だけです。紛失した場合は新しく作成してください。元のキーを再表示することはできません。APIキーの確認と管理も参照してください。

有効期限を設定し、誰がキーを更新するのかを記録しておきます。組織のポリシーによっては、有効期限の設定が必須だったり、作成できるキーの種類が制限されていたりします。選べない項目がある場合は、管理者にポリシーを確認してください。OpenAIの本番運用ガイドを参照し、テストを継続稼働するサービスに移す前に、APIキーの有効期限とローテーション計画を用意しましょう。

サービスアカウントのキーが適しているのはどんな場合ですか？

デプロイ済みのアプリや、チームで定期実行するワークフローには、個人ではなくソフトウェアに割り当てるサービスアカウントを使うことを勧めます。組織またはプロジェクトのオーナーが、対象プロジェクトの**Members → + Service account（メンバー → サービスアカウントを追加）**から作成します。生成されたキーは、その場で保存してください。サービスアカウントはDefaultプロジェクトに直接追加できないため、専用のプロジェクトを使います。サービスアカウントの設定手順を確認してください。

作成後は、プロジェクトの**API Keys（APIキー）**設定でアクセス権限を確認します。サービスアカウントの作成ダイアログでは、ユーザー所有のキーと同じ権限設定はできません。権限設定の違いに注意してください。こうしておくと、チームのメンバーが入れ替わっても、アプリの認証情報を誰が管理するのかが明確になります。

3. OpenAI APIキーの料金設定と利用上限を決める

ChatGPTとAPIの請求は別です。 ChatGPTに料金を支払っていても、APIの支払い設定が済んでいるわけではありません。対象の組織のAPI請求概要を開いてください。請求の管理は組織のオーナーが行えます。OpenAIの請求に関する案内も確認しましょう。

新規のAPIアカウントは前払い方式です。**Add payment details（支払い情報を追加）**を選び、支払い設定を済ませてから、初回に購入するクレジット額を選んで確定します。決済前に、**Use auto-reload（自動チャージを使用）**の設定を確認してください。OpenAIの説明では、初期設定で有効になっています。手動でチャージしながら試す場合は無効にし、自動チャージを使う場合は、チャージが発生する残高と月間の自動チャージ上限を意図して設定します。購入したクレジットの反映には、数分かかることがあります。前払いの設定手順を参照してください。

モデルごとの最新料金はOpenAIの料金ページで確認できます。アプリの予算を考える際は、当サイトのOpenAI API料金ガイドも参考にしてください。

上限でリクエストを止めるには、強制適用を有効にする

**Project settings → Limits → Spend → Edit spend limit（プロジェクト設定 → 制限 → 利用額 → 利用上限の編集）**を開き、**Monthly spend limit（月間利用上限）**を入力します。**Enforce a hard limit（ハードリミットを強制適用）**を有効にして保存してください。この操作には、そのプロジェクトの設定を管理する権限が必要です。サービスが停止する前に担当者が対応できるよう、上限より低い金額で利用額アラートも設定しておきます。利用上限の設定手順を参照してください。

ハードリミットが実際に適用されるまでには遅延があるため、記録される利用額が設定額を少し超えることがあります。組織のハードリミットは、その組織内のプロジェクトを合算した利用額に適用されます。前払いでも、利用停止までの遅延によって残高を超えて利用される場合があります。また、手動での購入は、自動チャージ上限の対象外です。ハードリミットの動作と前払いの仕組みを確認してください。

本番環境に導入する際は、OpenAI APIのハードリミット設定ガイドを読み、上限に達してサービスが止まった場合に、誰が上限額を引き上げられるかを決めておきましょう。

4. アプリが安全に使える場所にキーを保存する

キーは、認証情報の保管用に設計されたシークレットマネージャーに保存するか、OPENAI_API_KEYという環境変数を通じてサーバーに渡します。環境変数とは、ソースコードに秘密情報を埋め込まずに、実行中のプログラムが読み取れる名前付きの設定値です。本番環境での保管方法を参照してください。

通常のAPIシークレットキーを、WebサイトのJavaScript、モバイルアプリ、リポジトリ、スクリーンショット、サポートへの問い合わせメッセージに含めてはいけません。ブラウザーやモバイルアプリのコードは、ユーザーの端末に届きます。キーを保持し、リクエストを送る処理はサーバー側で行ってください。チームでも、個人のキーを使い回すのではなく、各メンバーにアクセス権を付与します。APIキーの安全な取り扱いを確認してください。

ツールからキーの貼り付けを求められた場合： その提供元に認証情報を渡してよいと判断したうえで、公式ドキュメントに記載された認証情報の入力欄だけを使ってください。私は、連携専用のプロジェクトと権限を制限したキーを用意し、利用上限と管理責任者を決めておくことを勧めます。通常のテキスト入力欄やチャットメッセージ、素性の分からない「キーチェッカー」は、接続確認のためにキーを入力する場所ではありません。必要な権限とキーの保存先は、ツールの提供元に確認しましょう。

5. curlでリクエストを一度送り、動作を確認する

以下をパソコンのBashで実行します。curlは、Webリクエストを送るコマンドラインツールです。冒頭の処理では、キーを画面に表示せず、入力するコマンドそのものにもキーの値を含めずに受け取ります。設定した環境変数は、そのシェルセッションで有効になります。

read -r -s -p "OpenAI API key: " OPENAI_API_KEY
printf '\n'
export OPENAI_API_KEY

curl https://api.openai.com/v1/responses \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -d '{
    "model": "gpt-6-astra",
    "input": "Reply with a short greeting."
  }'

この例では、OpenAIのテキスト生成のサンプルにあるリクエスト形式とモデルを使っています。Responses APIは、入力を受け取り、モデルの出力を返すエンドポイントです。認証ヘッダーでキーを渡し、JSONの本文でモデルを指定して指示を送ります。実際にAPIを利用するリクエストなので、支払い設定とモデルへのアクセス権を整えておく必要があります。

成功すると、レスポンスのoutput配列に、output_textの内容を持つメッセージが含まれます。その中であいさつ文を確認してください。テキストが必ず配列の先頭にあるとは限りません。errorオブジェクトが返された場合は、メッセージとコードを読み、後述の確認項目を参照します。レスポンスの構造も確認してください。

テスト後、キーが不要になったら、unset OPENAI_API_KEYを実行して、このシェルの環境変数を削除します。デプロイ時は、ターミナルで毎回キーを入力するのではなく、ホスティング環境にシークレットを設定してください。

APIキーが使えないときは、どこを確認すればよいですか？

新しいキーを作る前に、エラーの内容を読みましょう。キーそのものとは関係のない原因もあります。

429は、レート制限だけでなく、利用額やクレジットの問題でも返されます。再試行を繰り返しても、クレジットが補充されたり、設定済みの上限が変わったりすることはありません。OpenAIのエラーコードとキーの権限を確認してください。

APIキーが漏えいしたら、すぐに無効化する

公開リポジトリやスクリーンショット、メッセージに貼り付けたキーは、漏えいしたものとして扱います。見える場所から削除しても、誰かがすでに取得したコピーまでは無効にできません。

1. 漏えいしたキーを無効化します。 正しいプロジェクトのAPIキー管理ページを開き、対象のキーを削除します。そのキーを使うアプリは、キーを置き換えるまで停止する場合があります。キーの削除方法を確認してください。
2. 代わりのキーを作成し、対象アプリを更新します。 新しいキーでテストし、デプロイ済みのプロセスでも使われていることを確認します。
3. 利用状況と請求を確認します。 身に覚えのないリクエストを調べ、不正利用が疑われる場合はOpenAI Supportに連絡します。OpenAIは、漏えいが疑われる時点で直ちにキーをローテーションすることを推奨しています。漏えい時の対応ガイドを参照してください。
4. 漏えいの原因を取り除きます。 コードやログからキーを削除し、漏えいにつながった保存方法や共有方法を改めます。アカウント自体が侵害された可能性がある場合は、パスワードを変更し、他のセッションをログアウトさせ、不正な操作を報告してください。アカウントの復旧手順を確認しましょう。

この設定が役立つ五つの場面

ここまでの設定により、管理責任者と予算が明確な連携を構築できます。チームでの具体的な使い方を、すぐに役立ちやすい順に挙げます。

キーが動くことで分かるのは、リクエストを実行できるということです。プロンプトの信頼性、ツール提供元による認証情報の適切な管理、自動化処理に顧客データへのアクセスを許可してよいかどうかまでは確認できません。それぞれ、プロダクトと運用の判断が必要です。

接続設定を支援する、二つの開発アイデア

最も有望なのは、顧客にOpenAIキーの入力を求めるソフトウェアに組み込む、接続設定アシスタントです。 DataForSEOの推計では、「how to get openai api key」の米国での月間検索数は1,000件です。これは設定に迷う人がいることを示す材料であり、有料顧客数の予測ではありません。ツールの提供元は、プロジェクト設定のチェックリスト、安全な認証情報の入力欄、分かりやすいテストボタン、読みやすい結果表示を備えた仕組みを、購入または開発できます。最小構成は、その接続を必要とするプロダクトの中に置くべきです。ただし、提供元が自社で開発することもできます。サポート負担を減らし、案内を最新に保ち続けることに価値を出す必要があります。

エラーの解説機能はサポートに役立ちますが、単体での需要は弱めです。 同じ調査で、「openai api key not working」の米国での月間検索数は10件にとどまります。自動化ツールの提供元や導入支援会社なら、機密情報を伏せたエラーコードとメッセージを受け取り、認証情報、クレジット、権限、リクエストの頻度のどれを見直すべきか説明するフォームを提供できます。初期版に必要なのは、継続的に更新する判断表であって、ユーザーのキーを預かることではありません。課題は、計測された検索数が少ないことと、多くのツールがすでにエラーを表示していることです。私なら独立した有料サービスとして立ち上げるより、初期設定のサポートに組み込みます。

これらは、本ガイドのために確認したDataForSEOのキーワード概要データに基づく、米国・英語での推計値です。検索回数を示すもので、利用者の実人数や購入意向を表すものではありません。

週明けに取り組むこと： 連携を一つ選び、管理責任者を決め、プロジェクトを作成して、利用額の制御を設定します。そして、キーを取り除いた成功時のテスト結果を一つ保存してください。次に保守を担当する人へ渡せる、実用的な引き継ぎ資料になります。

この連携を本番運用へ進める支援が必要な場合は、周辺の運用業務を扱うAI本番運用システムの支援をご覧ください。