API Key

Hầu hết công cụ hiện đại đều có API, tức một cách để phần mềm làm việc trực tiếp với công cụ đó thay vì qua giao diện website. API key là cách để công cụ biết ai đang gọi. Khi bạn kết nối một mô hình AI, một nền tảng email hay một công cụ phân tích với code của mình hoặc với một nền tảng tự động hóa, bạn thường được yêu cầu tạo API key và dán vào.

API key hoạt động thế nào?

Bạn tạo khóa trong trang quản trị của dịch vụ. Sau đó code của bạn gửi khóa này kèm mỗi yêu cầu, thường trong một HTTP header như Authorization: Bearer kèm theo khóa. Dịch vụ tra khóa, kiểm tra khóa còn hiệu lực và được phép làm việc đang yêu cầu, ghi nhận mức sử dụng vào tài khoản của bạn rồi trả kết quả. Với các dịch vụ tính phí theo mức dùng, như API mô hình AI tính theo token, tài khoản sở hữu khóa sẽ bị tính tiền.

API key khác mật khẩu và OAuth thế nào?

• Mật khẩu: chứng minh một người đúng là chủ tài khoản khi đăng nhập website.
• API key: nhận diện một ứng dụng hoặc dự án đang gọi API. Dùng đơn giản nhưng ai cầm khóa cũng có toàn quyền.
• OAuth và service account: cấp quyền có giới hạn, có thể thu hồi, thay mặt người dùng hoặc hệ thống, thường kèm token ngắn hạn. Google Search Console và GA4 dùng cách này cho dữ liệu riêng tư thay vì API key thông thường.

Team marketing dùng API key ở đâu?

• Mô hình AI: OpenAI, Anthropic, Google và các nền tảng tổng hợp như OpenRouter, cho công cụ viết nội dung và tự động hóa.
• Email và CRM: ví dụ Klaviyo có public key để nhận diện tài khoản trong code website và private key để truy cập dữ liệu từ phía máy chủ.
• Nền tảng tự động hóa như Zapier, Make hoặc n8n, nơi lưu API key để kết nối các ứng dụng.
• Công cụ SEO và phân tích có cung cấp dữ liệu qua API.

Cách giữ API key an toàn

• Không bao giờ đặt khóa bí mật trong code website chạy trên trình duyệt, vì ai cũng xem được. Hãy gọi API từ máy chủ.
• Lưu khóa trong biến môi trường, như file .env.local được loại khỏi Git, và trong phần cài đặt bí mật của nền tảng hosting.
• Mỗi dự án dùng một khóa riêng với quyền tối thiểu cần thiết, và đặt giới hạn chi tiêu nếu dịch vụ cho phép.
• Đổi khóa định kỳ và mỗi khi có người từng nắm khóa rời team.
• Coi mọi khóa đã dán vào chat, email, tài liệu hoặc ảnh chụp màn hình là đã bị lộ, và thay khóa mới.

Làm gì khi API key bị lộ?

Thu hồi khóa ngay trong trang quản trị của dịch vụ, tạo khóa mới và cập nhật ở mọi nơi đang dùng. Sau đó kiểm tra nhật ký sử dụng và hóa đơn xem có hoạt động lạ không. Khóa của các mô hình AI thường bị nhắm tới vì kẻ xấu có thể dùng chúng để đốt tiền trên tài khoản của người khác, nên hành động nhanh quan trọng hơn điều tra trước.