API key 安全设定清单：key 放哪、两家总闸、掉了怎么换锁

01 · 清单

先给你：一页设定清单

做完一项就点一下打勾。灰色小数字点了跳到页底的官方出处。

key 放哪

收进一个叫 .env 的档案程式从环境变数读 key，不要写死在程式码里1 2

把 .env 写进 .gitignore不然 git 会把它一起带上 GitHub1

不贴群组、不放网页、不进公开 repo放在浏览器或手机 app 里的 key，打开的人都拿得到1 2 3

一人一把，不借别人要用，叫他自己去拿一把1

.gitignore + .env 范例

# .gitignore 里加这一行
.env

# .env（只放在你电脑上）
ANTHROPIC_API_KEY=你的 Claude key
OPENAI_API_KEY=你的 OpenAI key

程式放上云端跑的话，用那个平台的 secret 管理，不用 .env1。

Claude 的总闸（Console）

设一个每月上限 Settings›Billing›Spend limits›Set limit 设过的按钮叫 Adjust limit；不能高过你那一级的封顶4

看一眼自动充值 Settings›Billing›Auto-reload›Edit 开着的话，余额低于你设的门槛就自己再买；要 Admin 或 Billing 角色才改得到5

Claude 本来就有每月封顶，到了 API 停到下个月 1 号 00:00 UTC4：

Start $500Build $1,000Scale $200,000

但封顶是它定的。新帐号可能先在 Evaluation 那一级，额度更低，官方没写数字4。

OpenAI 的总闸

开 hard limit Organization limits›Edit spend limit›Monthly spend limit›Enforce a hard limit›Save 不勾 Enforce a hard limit 就只是一个数字，不会停6

有分 project 的，每个 project 也设 Project settings›Limits›Edit spend limit 一样填 Monthly spend limit、勾 Enforce a hard limit、Save6

spend alert 只会通知你，不会停。上限也会稍微超过一点，官方写的：执行不是即时的6。Organization limits 那页在 platform.openai.com/settings/organization/limits2。

key 流出去了

删讯息没用，直接撤销那把 key看到的人可能早就复制了；官方建议立刻撤销1 3

Claude：删掉它 API keys›⋯›Delete API Key API keys 页从你的 profile 进去，点那把 key 旁边的三个点1

OpenAI：在 API keys 页换掉它 platform.openai.com/settings/organization/api-keys 官方叫 rotate：撤销旧的、换一把新的2 3。页面上按钮叫什么 [待核]

新 key 换进 .env，再看一次用量Claude 在 Console 的 Usage 页看4，有不是你用的就是被拿去用了

Claude 的 key 被贴上公开 GitHub，GitHub 会通知 Anthropic，Anthropic 会自动停用那把 key1。别靠这个。

装好 0 / 0

纯文字版 · 贴进备忘录

API key 安全设定清单（2026-10-09 照官方文件）

1 key 放哪
[ ] 收进 .env，程式从环境变数读
[ ] .env 写进 .gitignore
[ ] 不贴群组、不放网页 / 手机 app、不进公开 repo
[ ] 一人一把，不借

2 Claude 总闸（Console）
[ ] Settings › Billing › Spend limits › Set limit（设过叫 Adjust limit）
[ ] Settings › Billing › Auto-reload › Edit：要不要自动充值

3 OpenAI 总闸
[ ] Organization limits › Edit spend limit › Monthly spend limit › 勾 Enforce a hard limit › Save
[ ] 每个 project：Project settings › Limits › Edit spend limit（同上）
    spend alert 只通知、不会停；上限会稍微超过一点

4 key 流出去了
[ ] 删讯息没用，直接撤销 key
[ ] Claude：API keys › ⋯ › Delete API Key
[ ] OpenAI：API keys 页 rotate（撤销旧的、换新的）
[ ] 新 key 换进 .env，再看一次用量

这张清单给谁

自己开过 API key 的人：在 Claude Console 或 OpenAI 后台拿过 key，接进自己的程式、工具、自动化。
只订了 Claude 月费、没开过 Console 的，没有 key 可以掉。订阅跟 API 是分开的产品、分开收费7。
改 Claude 的帐单设定要 Admin 或 Billing 角色。公司帐号你不是管理员的话，这张拿去给管的人5。

05 · 常见问题

你可能会问

Claude 已经有封顶了，我还要自己设吗？

封顶是它那一级的上限，Start 就是 $500 一个月4。你一个月只用几块钱的话，自己设一个低很多的，才是你的总闸。

到了我设的上限会怎样？

Claude：API 会回错误、告诉你什么时候恢复；把上限调高或拿掉就马上能用4。OpenAI：开了 hard limit，到了 API 会失败6。所以上限设在你正常用量上面一点，不要贴着。

我只订了 Claude Pro，要做这张清单吗？

订阅跟 API 分开7，没开过 Console 就没有 key。但如果你开了 usage credits，去 Settings › Usage 设一个每月上限，或者选 unlimited 之前想清楚9。

key 已经进了 git 的历史，删档案够吗？

不够，旧的版本里还在。先照第 4 件把那把 key 撤销、换新，再处理 git。

出处

Claude 说明中心〈API Key Best Practices: Keeping Your Keys Safe and Secure〉：不要分享、不贴公开讨论 / 信件 / 客服单；要用的人自己拿 key；用环境变数；.env 要加进 ignore 档；云端用加密的 secret 管理；怀疑外泄立刻 revoke；API keys 页 → 三个点 → Delete API Key；公开 GitHub 上的 key 会被自动停用。support.claude.com/en/articles/9767949（2026-10-09 核）
OpenAI API docs〈Production best practices〉：不要把 key 放在程式码或公开 repo，用环境变数或 secret 管理；换 key 是建新的、换进程式、再撤销旧的；API keys 页、limits 页网址；spend alert 与 hard spend limit。developers.openai.com/api/docs/guides/production-best-practices（2026-10-09 核）
OpenAI 说明中心〈Best Practices for API Key Safety〉：不要把 key 放在浏览器、手机 app 这种前端；外泄时到 API Keys 页 rotate。help.openai.com/en/articles/5112595（2026-10-09 读到原页；本页这次打开回 403）
Claude API docs〈Rate limits〉：Settings › Billing › Spend limits › Set limit / Adjust limit，不能高过那一级的封顶；Start $500 · Build $1,000 · Scale $200,000，到了停到下个月 1 号 00:00 UTC；新组织可能先在 Evaluation tier；Usage 页。platform.claude.com/docs/en/api/rate-limits（2026-10-09 核）
Claude 说明中心〈How do I pay for my Claude API usage?〉：API 是预付额度，用完就不能叫；Auto-reload 在余额低于门槛时自动买；要 Admin 或 Billing 角色，Settings › Billing › Auto-reload › Edit。support.claude.com/en/articles/8977456（2026-10-09 核）
OpenAI API docs〈Spend limits〉：Organization limits → Edit spend limit → Monthly spend limit → Enforce a hard limit → Save；project 版 Project settings → Limits；spend alert 不会停；「recorded spend can slightly exceed the configured amount」。developers.openai.com/api/docs/guides/spend-limits（2026-10-09 核）
Claude 说明中心〈I have a paid Claude subscription… why do I have to pay separately to use the Claude API and Console?〉：订阅跟 Console 是分开的产品，API 分开收费。support.claude.com/en/articles/9876003（2026-10-09 核）
Claude 说明中心〈About Claude's Pro plan usage〉：五小时一格、另有每週额度。support.claude.com/en/articles/8325606（2026-10-09 核）
Claude 说明中心〈Manage usage credits for paid Claude plans〉：usage credits 照标准 API 价、跟订阅分开收；Settings › Usage 开关，可设每月上限或 unlimited。support.claude.com/en/articles/12429409（2026-10-09 核）
The Register〈Dev stunned by $82K Gemini API key bill after theft〉（2026-03-03）。theregister.com/security/2026/03/03/dev-stunned-by-82k-gemini-api-key-bill-after-theft（2026-10-09 核）

API key 的总闸，
要自己装