Den här texten publicerades först på maskinlarning.se.
Förr eller senare, när du vill koppla ihop ett AI-verktyg med något annat – ett formulär, ett kalkylark eller ett automatiseringsflöde – dyker ordet API-nyckel upp. Det låter tekniskt, men idén är ganska enkel.
Först: vad är ett API?
Ett API är ett sätt för två tjänster att prata med varandra enligt bestämda regler. När du chattar i ChatGPT pratar du själv med tjänsten. När ett verktyg som Make eller Zapier ska göra det åt dig, sker samtalet via ett API.
Vad är då en API-nyckel?
En API-nyckel är en unik teckensträng som identifierar ett konto, ett projekt eller en app när ett verktyg anropar en tjänst. Tänk på den som en teknisk legitimation för själva kopplingen – inte som en inloggning för en person.
Tjänsten använder nyckeln för att veta vem som anropar, styra behörigheter, mäta användning, sätta kvoter och ibland debitera rätt konto. Därför är nyckeln i många tjänster direkt kopplad till din faktura.
Tumregel: om någon annan kan kopiera din API-nyckel ska du utgå från att den är komprometterad.
API-nyckel, lösenord och token – vad är skillnaden?
- Lösenord – identifierar en användare vid manuell inloggning.
- API-nyckel – identifierar oftast ett projekt, en app eller ett konto vid API-anrop.
- Åtkomsttoken – en tillfällig åtkomst till specifika resurser, ofta med kortare livslängd.
Olika leverantörer använder olika namn. Det viktiga är inte ordet, utan vad just den nyckeln faktiskt får göra.
Var ska nyckeln inte ligga?
De flesta läckor beror inte på avancerade attacker utan på vardagliga misstag. Undvik:
- publika GitHub-arkiv och andra öppna kodförråd
- JavaScript som skickas till besökarens webbläsare
- skärmbilder, videor, forumtrådar och supportärenden
- chattar och delade dokument utan åtkomstkontroll
- webbadresser – alltså värden efter frågetecknet i en URL – eftersom de lätt sparas i historik och loggar
Spara i stället nyckeln i verktygets skyddade anslutning eller som miljövariabel (en inställning där hemliga värden ligger utanför själva koden), och skicka den i en header – ett extra informationsfält i anropet – i stället för i URL:en. Ett vanligt format är:
Authorization: Bearer DIN_API_NYCKEL
Formatet varierar mellan tjänster, så läs alltid leverantörens dokumentation eller använd deras färdiga anslutning.
Ge nyckeln så lite makt som möjligt
Principen om minsta möjliga behörighet betyder att nyckeln bara ska få göra det arbetsflödet verkligen behöver. Ska ett verktyg bara läsa data, ska nyckeln inte kunna skriva eller radera. Ett praktiskt råd för små företag: skapa en separat nyckel per arbetsflöde. Då blir det lättare att felsöka och att stänga av en enda koppling om något händer.
Ett säkert första test
Guiden går igenom ett test i OpenAI:s API-plattform och no-code-verktyget Make. I korthet:
- Skapa ett separat projekt för testet på platform.openai.com.
- Börja med minsta förbetalning, stäng av automatisk påfyllning och sätt ett lågt budgetlarm.
- Skapa en projektbunden nyckel med begränsad behörighet.
- Lägg in nyckeln i Makes skyddade anslutning – inte i ett vanligt textfält.
- Kör scenariot manuellt en enda gång med prompten
Svara bara med ordet OK.
Godkänt test: svaret blir exakt OK och du ser en liten användning på rätt projekt. Lämna sedan scenariot avstängt.
En detalj som förvirrar många: ChatGPT Plus inkluderar inte API-användning. API:t faktureras separat.
När nyckeln är rätt men ändå inte fungerar
En giltig nyckel kan stoppas av rate limits – gränser för hur många anrop du får göra under en viss tid – eller av kvoter och budgetgränser. Felkoden 429 Too Many Requests betyder oftast just det, inte att nyckeln är fel. En 401 pekar däremot oftare på en felkopierad eller återkallad nyckel, och en 403 på saknad behörighet.
Om nyckeln läcker
Återkalla den direkt, skapa en ny, uppdatera alla kopplingar och kontrollera användning och kostnader. Vänta inte och se.
Guiden har också en stegtabell, en kontrollista och en felsökningstabell.
Hela guiden: https://maskinlarning.se/api-nyckel/
Top comments (0)