API-ключ OpenAI: создание, оплата и первый запрос

1. Войдите в аккаунт и выберите нужный проект

Откройте platform.openai.com и зарегистрируйтесь или войдите в аккаунт. Пройдите предложенные шаги первоначальной настройки. В кратком руководстве OpenAI есть прямая ссылка на панель управления API-ключами.

Представьте, что аккаунт — это ваш рабочий пропуск, организация — компания, а проект — комната, выделенная одному приложению. Ключ даёт программе доступ в эту комнату.

В переключателе организаций выберите ту, в которой собираетесь работать. Откройте существующий проект или, если вы владелец организации, нажмите Create project в меню проектов и заполните его данные. По названию вроде website-test проще понять назначение проекта. Эти настройки описаны в руководстве OpenAI по проектам.

Для рабочих задач попросите владельца добавить вас в подходящий проект. Не подключайте клиентскую интеграцию к личному платёжному аккаунту только потому, что он уже открыт.

2. Как создать API-ключ OpenAI для проекта

В настройках организации выберите проект, откройте API Keys и нажмите + Create new secret key. Созданный ключ будет привязан к выбранному проекту. Подробнее — в инструкции по ключам проекта.

Для первого самостоятельного теста подойдёт ключ проекта, принадлежащий пользователю. Если интерфейс предложит указать имя, выберите понятное, например local-test. Установите права Restricted и разрешите операции, которые нужны приложению. Режим All даёт полный доступ и выбран по умолчанию; Read Only разрешает только чтение. Подробнее о правах API-ключей. Для теста ниже разрешите создание Responses — в OpenAI это право называется api.responses.write. См. описание права на создание ответов.

Сразу скопируйте секретный ключ в защищённое хранилище. OpenAI показывает его целиком только при создании. Если потеряете значение, придётся создать новый ключ: посмотреть исходный повторно нельзя. Подробнее о том, где найти API-ключи и как ими управлять.

Задайте срок действия и зафиксируйте, кто будет заменять ключ. Политика организации может требовать обязательного срока действия или ограничивать доступные типы ключей. Если нужная настройка недоступна, уточните правила у администратора. См. рекомендации OpenAI по эксплуатации. Прежде чем превращать тест в работающий сервис, подготовьте план контроля сроков действия и ротации API-ключей.

Когда лучше использовать сервисный аккаунт

Для развёрнутого приложения или командной автоматизации по расписанию я бы выбрал сервисный аккаунт — учётную запись программы. Владелец организации или проекта создаёт её в выбранном проекте через Members → + Service account. Сгенерированный ключ нужно сохранить сразу. Выделите отдельный проект: сервисные аккаунты нельзя добавлять напрямую в проект Default. См. инструкцию по созданию сервисного аккаунта.

После создания проверьте его права в разделе API Keys настроек проекта. В окне создания сервисного аккаунта нет тех же настроек прав, что доступны для ключа пользователя. Подробнее о различиях в настройке прав. Практический результат — понятная принадлежность ключа приложения даже при смене участников команды.

3. Настройте оплату API и ограничьте расходы

ChatGPT и API оплачиваются отдельно. Подписка на ChatGPT не заменяет настройку оплаты API. Откройте раздел оплаты API нужной организации; управлять её оплатой может владелец организации. См. пояснения OpenAI по оплате.

Новые API-аккаунты работают по предоплате. Нажмите Add payment details, укажите платёжные данные, выберите сумму первого пополнения и подтвердите покупку. Перед оплатой проверьте Use auto-reload: по данным OpenAI, автопополнение включено по умолчанию. Для эксперимента с ручным пополнением отключите его; если автопополнение нужно, осознанно задайте порог срабатывания и месячный лимит. Зачисление средств может занять несколько минут. См. настройку предоплаты.

Актуальные тарифы моделей смотрите на странице цен OpenAI, а рассчитать бюджет приложения поможет наш разбор стоимости OpenAI API.

Включите жёсткий лимит, чтобы запросы останавливались

Откройте Project settings → Limits → Spend → Edit spend limit, задайте Monthly spend limit, включите Enforce a hard limit и сохраните изменения. Для этого нужны права на управление настройками проекта. Установите порог оповещения о расходах ниже лимита, чтобы успеть отреагировать до остановки сервиса. См. инструкцию по лимитам расходов.

Жёсткий лимит срабатывает с задержкой, поэтому учтённые расходы могут немного превысить заданную сумму. Лимит организации распространяется на все её проекты вместе. Из-за задержки отключения запросов возможно и превышение предоплаченного баланса. Ручные пополнения не учитываются в лимите автопополнения. Подробнее о работе жёсткого лимита и предоплате.

Перед запуском в продакшен прочитайте руководство по жёстким лимитам расходов OpenAI API и определите, кто вправе повысить лимит, если он остановит работу сервиса.

4. Организуйте безопасное хранение ключа

Храните ключ в менеджере секретов — системе для хранения учётных данных — или передавайте его серверу через переменную окружения OPENAI_API_KEY. Переменная окружения — это именованный параметр, который работающая программа может прочитать без включения секрета в исходный код. См. рекомендации по хранению ключей в продакшене.

Не помещайте обычный секретный API-ключ в JavaScript сайта, мобильное приложение, репозиторий, скриншот или сообщение в поддержку. Код браузерных и мобильных приложений попадает на устройства пользователей; хранить секрет и отправлять запросы должен сервер. Предоставьте коллегам собственный доступ вместо того, чтобы передавать друг другу ключ одного сотрудника. См. правила безопасного обращения с API-ключами.

Если инструмент просит вставить ключ: используйте только поле для учётных данных, указанное в документации, и лишь если готовы доверить этот ключ поставщику. Я рекомендую отдельный проект и ключ с ограниченными правами для конкретной интеграции, с лимитом расходов и назначенным ответственным. Обычное текстовое поле, сообщение в чате или незнакомый «проверщик ключей» не подходят для диагностики подключения. Уточните у поставщика, какие права ему нужны и где он хранит секрет.

5. Проверьте подключение одним запросом curl

Выполните этот код в Bash на своём компьютере. curl — утилита командной строки для отправки веб-запросов. Первые строки предлагают ввести секрет, не показывая его на экране и не включая само значение в набираемую команду. Переменная окружения действует в течение этой сессии оболочки.

read -r -s -p "OpenAI API key: " OPENAI_API_KEY
printf '\n'
export OPENAI_API_KEY

curl https://api.openai.com/v1/responses \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -d '{
    "model": "gpt-6-astra",
    "input": "Reply with a short greeting."
  }'

Структура запроса и модель взяты из примера генерации текста OpenAI. Responses API — это конечная точка, которая принимает ваши входные данные и возвращает ответ модели. Заголовок авторизации передаёт секрет; тело JSON задаёт модель и инструкцию. Запрос использует API, поэтому оплата и доступ к модели должны быть настроены заранее.

Успешный ответ содержит массив output, в котором есть сообщение с содержимым типа output_text. Ищите приветствие там. Не рассчитывайте, что текст всегда находится в первом элементе массива. Если пришёл объект error, сверьте его сообщение и код с разбором ошибок ниже. См. структуру ответа.

Когда после теста ключ больше не нужен в этой оболочке, выполните unset OPENAI_API_KEY, чтобы удалить переменную. При развёртывании приложения настройте секрет в среде хостинга вместо повторного ввода через терминал.

Не работает API-ключ? Что проверить в первую очередь

Прочитайте сообщение об ошибке, прежде чем создавать новый ключ. Многие сбои вообще не связаны с самим секретом.

Ответ 429 может указывать как на превышение частоты запросов, так и на проблему с расходами или балансом. Повторные попытки не пополнят счёт и не изменят установленный лимит. См. коды ошибок OpenAI и права ключей.

Если API-ключ утёк, немедленно отзовите его

Считайте ключ скомпрометированным, если он попал в публичный репозиторий, на скриншот или в сообщение. Удаление видимой копии не лишает силы копии, которые кто-то уже успел получить.

1. Отзовите скомпрометированный ключ. Откройте страницу API-ключей нужного проекта и удалите его. Приложения, которые его используют, могут остановиться до замены ключа. См. инструкцию по удалению ключа.
2. Создайте новый ключ и обновите затронутые приложения. Проверьте новый ключ, затем убедитесь, что работающие процессы используют именно его.
3. Проверьте использование API и расходы. Разберитесь с неожиданными запросами и обратитесь в поддержку OpenAI, если подозреваете злоупотребление. OpenAI рекомендует немедленно менять ключ уже при подозрении на утечку. См. рекомендации на случай утечки.
4. Устраните причину утечки. Уберите секрет из кода и логов, исправьте способ хранения или передачи, из-за которого он оказался раскрыт. Если есть риск взлома самого аккаунта, смените пароль, завершите остальные сессии и сообщите о несанкционированных действиях. См. шаги по восстановлению безопасности аккаунта.

Пять задач, для которых пригодится такая настройка

Результат — интеграция с понятным ответственным и бюджетом. Вот практические сценарии для команды, в порядке того, насколько быстро они могут принести пользу.

Рабочий ключ подтверждает, что запрос может выполниться. Он не доказывает надёжность промптов, добросовестность поставщика в обращении с ключами или обоснованность доступа автоматизации к данным клиентов. Это отдельные продуктовые и эксплуатационные решения.

Две полезные функции, которые можно построить вокруг подключения

Самая перспективная идея — встроенный помощник подключения для программ, которые просят у клиентов ключ OpenAI. По оценке DataForSEO, запрос «how to get openai api key» получает 1,000 поисковых запросов в месяц в США. Это свидетельство трудностей с настройкой, а не прогноз числа платящих клиентов. Разработчик инструмента мог бы купить или создать пошаговый чек-лист настройки проекта, защищённое поле для ключа, явно обозначенную кнопку проверки и понятное отображение результата. Минимальная версия должна работать внутри продукта, которому нужно подключение. Ограничение в том, что разработчики могут сделать это сами. Поэтому ценность решения — в снижении нагрузки на поддержку и поддержании актуальности инструкций.

Объяснение ошибок — полезная функция поддержки, но спрос на отдельный продукт слабее. Та же проверка даёт лишь 10 поисковых запросов в месяц в США для «openai api key not working». Разработчик инструмента автоматизации или агентство по внедрению могли бы предложить форму для кода и текста ошибки с удалёнными конфиденциальными данными. Затем сервис объяснял бы, что исправить: ключ, баланс, права или частоту запросов. Для первой версии нужна поддерживаемая в актуальном состоянии таблица диагностики; получать ключ пользователя не требуется. Ограничения — небольшой измеренный объём поиска и то, что многие инструменты уже показывают эти ошибки. Я бы встроил такую функцию в первоначальную настройку, а не запускал отдельный платный продукт.

Это оценки DataForSEO keyword-overview для англоязычного поиска в США, проверенные при подготовке руководства. Они отражают число поисковых запросов, а не уникальных пользователей или намерений купить.

Первый шаг на понедельник: выберите одну интеграцию, назначьте ответственного, создайте проект, настройте контроль расходов и сохраните результат одного успешного теста, удалив из него секрет. Это пригодится тому, кто будет сопровождать интеграцию дальше.

Если нужна помощь с запуском интеграции в продакшен, на странице внедрения ИИ-систем описана работа по организации их эксплуатации.