API Key คืออะไร? ใช้อย่างไรไม่ให้โดนขโมย

API key คือข้อมูลลับที่ใช้บอกบริการว่า “คำขอนี้มาจากใครและมีสิทธิ์ใช้ทรัพยากรอะไร” ลองนึกภาพว่าเป็นกุญแจเข้าห้องเก็บของ ไม่ใช่ข้อความธรรมดาที่ส่งให้เพื่อนหรือแปะไว้หน้าบ้าน

ถ้า key หลุด คนอื่นอาจเรียก API ในนามของเรา ทำให้โควตาหมด เกิดค่าใช้จ่ายที่ไม่คาดคิด หรือเข้าถึงข้อมูลบางส่วนตามสิทธิ์ของ key ได้

กฎ 3 ข้อที่ต้องจำ

1. อย่าใส่ key ใน browser หรือ mobile app เพราะผู้ใช้สามารถเปิดดูโค้ดและดึง key ไปใช้ได้ ให้ browser เรียก backend ของเรา แล้ว backend จึงคุยกับ API
2. อย่า commit key ลง Git แม้เป็น repository private เพราะ log, backup หรือสิทธิ์ที่เปลี่ยนไปอาจทำให้ข้อมูลรั่ว
3. อย่าส่ง key ในแชตหรือภาพหน้าจอ และอย่าใช้ key เดียวร่วมกันทั้งทีม ควรแยก key ตามคนหรือบริการที่รับผิดชอบ

โครงสร้างที่ควรใช้

ผู้ใช้ → เว็บไซต์ของเรา → Backend → AI API
                         ↑
                 OPENAI_API_KEY ใน secret

เก็บค่าใน environment variable หรือ secret manager ให้ backend อ่านตอนรันงาน โค้ดที่แชร์ใน Git จึงมีเพียงชื่อ variable เช่น OPENAI_API_KEY ไม่ใช่ค่าจริง

Checklist ก่อนนำระบบขึ้น production

• สร้าง key แยกตามผู้ใช้/บริการ และให้สิทธิ์เท่าที่จำเป็น
• ตรวจว่าไฟล์ .env อยู่ใน .gitignore และไม่มี key ใน history
• กำหนดเจ้าของ key และวิธีเปลี่ยน key เมื่อคนออกจากทีม
• ติดตาม usage และแจ้งเตือนความผิดปกติ
• มี backend เป็นจุดเดียวที่ควบคุม request, rate limit และ logging
• งานที่ส่งข้อมูลลูกค้าหรือข้อมูลสำคัญต้องผ่านนโยบายข้อมูลและการตรวจของคน

ถ้าสงสัยว่า key หลุด ให้ทำตามลำดับนี้

1. Rotate หรือ revoke key ทันที
2. อัปเดต secret ในระบบที่ใช้งาน
3. ตรวจ usage, log และค่าใช้จ่ายย้อนหลัง
4. ลบ key ออกจากโพสต์, screenshot, issue หรือ commit ที่เผยแพร่
5. ทบทวนว่าหลุดจากขั้นตอนไหน แล้วเพิ่มมาตรการป้องกัน

Environment variable ช่วยลดโอกาสรั่ว แต่ไม่ใช่คำตอบทั้งหมด ถ้าเครื่องหรือ pipeline มีสิทธิ์กว้างเกินไป key ก็ยังถูกอ่านได้ สำหรับระบบจริงอาจต้องใช้ secret manager, จำกัด IP หรือจำกัดสิทธิ์เพิ่มเติมตามโครงสร้างของบริการ

สรุป

กฎง่ายที่สุดคือให้ key อยู่ฝั่ง backend, ไม่อยู่ใน browser, ไม่อยู่ใน Git และมีแผน rotate ก่อนเริ่มใช้งานจริง อ่านต่อเรื่อง OpenAI API คืออะไร เพื่อดูภาพรวม workflow และอย่าลืมให้คนตรวจงานที่มีผลต่อลูกค้าหรือการเงิน