Hôm nay mình sẽ hướng dẫn anh em giữ API key Claude an toàn, để biết cách cất key, kiểm tra chi phí và thu hồi khi bị lộ. Mình đọc tài liệu chính thức của Anthropic rồi gom các bước cần làm cho anh em. API key là chuỗi bí mật cho ứng dụng truy cập dịch vụ; người khác có key có thể dùng dịch vụ và khiến chi phí tính vào tài khoản của anh em.
Bước 1: Anh em giữ kín API key Claude
Mình khuyên anh em giữ API key như giữ mật khẩu cá nhân, đừng đưa cho ai. Mỗi người cần key riêng. Tài liệu dặn anh em đừng đưa key vào code công khai, diễn đàn, email hoặc nội dung gửi hỗ trợ, kể cả khi bên nhận là Anthropic và đang hỗ trợ anh em.
Khi anh em nhập key vào một công cụ bên thứ ba, người làm ra công cụ đó có thể vào được tài khoản Claude Console của anh em.
Mình thấy nếu anh em không tin công cụ nào thì cứ đừng đưa key cho nó. Nếu vẫn dùng, anh em nhập key vào mục lưu bí mật có mã hóa của họ, đừng viết thẳng vào code hay file cấu hình.
Bước 2: Anh em kiểm tra lượt dùng và chi phí
Mình khuyên anh em vào Claude Console, mở trang Logs và trang Usage để xem định kỳ theo từng API key. Anh em nên tập kiểm tra đều đặn, vì mức dùng tăng bất thường có thể do key bị lộ, cũng có thể do script chạy sai.
Nếu tài khoản của anh em có hạn mức sử dụng tùy chỉnh, tài liệu hướng dẫn đặt giới hạn chi tiêu trong mục Billing. Anh em đặt thêm hạn mức cho từng workspace (khu vực làm việc trong tài khoản) ở mục Rate limits. Với tài khoản có hạn mức tiêu chuẩn, tài liệu hướng dẫn bật và cấu hình nạp tiền tự động (auto-reload) cũng ở mục Billing.
Tính năng auto-reload (tự nạp tiền) sẽ tự trừ thẻ đã lưu khi số dư xuống tới ngưỡng anh em đặt. Mình đọc tài liệu thấy auto-reload giúp dịch vụ không bị ngắt, còn giới hạn nạp giúp chặn mức dùng cao bất ngờ. Anh em cân nhắc kỹ giới hạn nạp, vì key bị lộ hay code lỗi đều có thể khiến mức dùng tăng ngoài dự tính.
Bước 3: Anh em cất key bằng biến môi trường
Mình hướng dẫn anh em cho ứng dụng nhận API key qua biến môi trường theo tài liệu. Biến môi trường là một giá trị mà máy giữ sẵn, chương trình chạy lên là đọc được. Nhờ vậy, key không nằm trong file code mà anh em cần chia sẻ.
Ví dụ Python trong tài liệu bắt đầu bằng việc tạo file .env. Anh em tạo file tên .env trong thư mục chứa code, mở file đó ra và dán vào đúng một dòng như bên dưới. Phần your-api-key-here cần được thay bằng API key thật của anh em.
ANTHROPIC_API_KEY=your-api-key-hereFile chứa key cần được giữ kín như chính API key bên trong. Anh em mở terminal, tức cửa sổ gõ lệnh, rồi nhập lệnh bên dưới để cài python-dotenv, gói giúp chương trình đọc nội dung trong file .env theo ví dụ của tài liệu.
pip install python-dotenvSau đó, anh em thêm đoạn code dưới đây vào script của mình. Script là file chứa các lệnh để chạy; đoạn code trong tài liệu đọc file .env rồi lấy giá trị của biến ANTHROPIC_API_KEY để chương trình có thể dùng key mà anh em đã cất.
from dotenv import load_dotenv
import os
load_dotenv()
my_api_key = os.getenv("ANTHROPIC_API_KEY")Anh em thêm .env vào .gitignore trước khi đưa code lên repo. Repo là nơi lưu code và theo dõi các lần thay đổi; file .gitignore ghi những file cần bỏ qua, để file chứa key không bị đẩy lên cùng code anh em chia sẻ.
Khi ứng dụng chạy trên cloud, anh em ưu tiên chỗ lưu bí mật có mã hóa. Cloud là hạ tầng do bên cung cấp vận hành; anh em đọc hướng dẫn của nơi chạy ứng dụng để đưa key từ chỗ lưu bí mật vào biến môi trường.
Bước 4: Anh em thay key theo lịch
Mình khuyên anh em đổi key theo lịch: tạo key mới rồi tắt key cũ đi; tài liệu lấy ví dụ là mỗi 90 ngày, mình thấy cách này khá hợp lý. Anh em nên ghi việc này vào lịch vận hành, còn khi đã nghi ngờ thì thu hồi ngay thay vì chờ.
Bước 5: Anh em tách key theo công việc
Anh em nên tách API key theo từng mục đích nếu có thể. Môi trường phát triển, kiểm thử và chạy thật (production) mỗi nơi nên có một key riêng. Nhờ vậy anh em xem được mỗi nơi dùng bao nhiêu, và khi lộ thì chỉ cần tắt đúng key đó.
Anh em cũng nên đưa bước quét repo vào CI/CD để tìm key lỡ có trong code; CI/CD là quy trình tự động kiểm tra code.
Tài liệu khuyên anh em bật tính năng quét tìm key bị lộ trên GitHub nếu nơi lưu code có hỗ trợ. Anh em có thể gắn bước quét vào quy trình kiểm tra code, để key lọt vào code bị bắt trước khi code được gộp vào nhánh chính. Gitleaks là công cụ kiểm tra repo để tìm những bí mật bị đưa vào code.
Mình đã chạy thử một tình huống lộ key
Mình đã chạy thử bằng cách gửi yêu cầu cho Claude Sonnet qua Claude Code bằng gói thuê bao, không kèm file hay công cụ nào. Trong prompt, tức yêu cầu gửi cho AI, mình mô tả code dán thẳng API key và sắp đưa lên GitHub công khai.
Mình nhận được câu trả lời từ Claude Sonnet sau 12,8 giây trong lần gửi prompt này. Phần trả lời của Claude Sonnet dài 468 chữ, gồm việc phân tích rủi ro, viết lại code dùng biến môi trường và hướng dẫn xử lý khi key đã bị công khai.
Mình thấy nó nhắc đặt key trong biến môi trường, thêm .env vào .gitignore và thu hồi key ngay nếu lỡ đưa lên repo công khai. Nó còn nhắc kiểm tra mục usage/billing xem có lượt dùng bất thường không.
Qua lần chạy này, mình rút ra thứ tự xử lý khi lỡ đưa key lên repo công khai. Anh em thu hồi key trước. Còn xóa key khỏi lịch sử git thì mình coi là dọn dẹp thêm thôi, Claude cũng trả lời đúng như vậy.
Mình chưa chạy thử đoạn code model viết nên anh em tự kiểm tra trước khi dùng.
Lỗi hay gặp
Nếu nghi key bị lộ, anh em thu hồi ngay trong Claude Console. Anh em mở mục API keys, tìm key cần thu hồi rồi mở menu bên cạnh và chọn Delete API key; đây là thao tác tài liệu hướng dẫn làm ngay khi phát hiện nghi ngờ.
Tài liệu ghi rằng GitHub quét repo công khai để tìm Claude API key bị lộ; nếu thấy, GitHub báo Anthropic, Anthropic tự vô hiệu hóa key và gửi email cho người dùng. Dù vậy mình khuyên anh em thu hồi key ngay, đừng chờ cơ chế này. Cứ nghi lộ là anh em thu hồi luôn, đừng chờ tới lúc tiền bị trừ rồi mới xử lý.
