API-ключ для Codex: когда он нужен, куда сохранить и как не отправить в GitHub

API-ключ нужен Codex не всегда. В приложении, CLI и расширении для редактора можно войти через ChatGPT и использовать доступ своей подписки. Ключ выбирают для тарификации через API, автоматизации или отдельного проекта OpenAI. Codex Cloud работает через вход в ChatGPT.

Если вы просто запускаете Codex на своем компьютере, начните со входа через ChatGPT. Так вы не создадите лишний секрет и не перепутаете оплату подписки с расходами API.

API-ключ оправдан, когда нужно:

• оплачивать запросы по фактическому API-использованию;

• разделить личную подписку и рабочий проект;

• запускать Codex в среде, где интерактивный вход неудобен;

• контролировать расходы и доступ на уровне API-проекта.

Подписка ChatGPT и баланс API не являются одним кошельком. Перед использованием ключа проверьте биллинг и лимиты именно в API Platform.

Не используйте один ключ для всех ноутбуков, проектов и серверов. Создайте ключ в нужном API-проекте и назовите его по назначению, например codex-personal-mac. Тогда его можно отозвать, не останавливая остальные интеграции.

После создания значение показывается как секрет. Не отправляйте его в мессенджер и не сохраняйте в заметку внутри репозитория.

Для локального запуска используйте системное хранилище, настройки Codex или переменную окружения. Файл .env допустим только как локальный вариант, если он уже добавлен в .gitignore.

Проверьте защиту до первого коммита:

1. создайте .env.example только с названием переменной и пустым значением;

2. убедитесь, что реальный .env игнорируется Git;

3. выполните git status;

4. поищите начало ключа в отслеживаемых файлах;

5. задайте небольшой бюджет или лимит проекта.

Откройте настройки авторизации или выполните штатную команду входа для своей версии Codex. Не публикуйте вывод, если в нем есть сведения об учетной записи. После переключения на ключ дайте безопасную задачу без внешних сервисов:

Если ответ получен, способ входа работает. Теперь вернитесь к биллингу и убедитесь, что расход появился в ожидаемом API-проекте. Так вы не обнаружите через неделю, что Codex использовал не ту организацию или не тот способ оплаты.

Не удаляйте строку и не считайте вопрос закрытым. Сразу отзовите ключ, создайте новый и очистите историю Git, если секрет попал в коммит. Обычный новый коммит не удаляет ключ из старых версий.

В проектах ИИ-лаборатории Глеба Кудрявцева «Вайбкодинг на максималках» Codex используется в связке с VS Code, Git, базой и деплоем, поэтому работа с секретами рассматривается как часть процесса, а не как последняя проверка.

Правильная настройка закончена, когда вы понимаете выбранный способ входа, ключ находится вне Git, расходы ограничены, а секрет можно отозвать отдельно от других проектов.