API-kulcs

angolul: API key

alapelterjedt

Az API-kulcs egy hosszú, titkos karaktersor, amellyel egy program igazolja magát egy online szolgáltatásnál, hogy az kiszolgálja és a használatot elszámolja.

Érthetően

Képzeld el a szállodai mágneskártyát: nem a neved van rajta, mégis nyitja az ajtót, és a szálloda pontosan tudja, melyik szobához tartozik. Az API-kulcs ugyanilyen belépőkártya, csak nem embereknek, hanem programoknak készül. Egy hosszú, véletlenszerű betű- és számsor, amelyet a program minden kéréséhez odatesz.

Arra jó, hogy két szoftver emberi közreműködés nélkül is tudjon egymással dolgozni. Ha egy alkalmazás vagy egy AI-agent időjárási adatot kér, térképet tölt be, vagy egy nyelvi modelltől vár választ, a kulcs mutatja meg a szolgáltatónak, kinek a nevében érkezik a kérés, és kinek a számlájára kell írni.

A jelszótól abban különbözik, hogy nem te gépeled be, hanem a program használja helyetted, és általában nem egy emberhez, hanem egy alkalmazáshoz vagy projekthez tartozik. Abban viszont ugyanolyan, hogy aki megszerzi, az a te nevedben és a te költségedre használhatja a szolgáltatást.

Hogyan működik

Regisztrálsz egy szolgáltatónál, és a fiókodban létrehozol egy kulcsot; sok helyen csak egyszer látod teljes egészében, ezért rögtön biztonságos helyre kell mentened.
A kulcsot a programod vagy az agent beállításai közé teszed, lehetőleg nem magába a programkódba, hanem egy külön, védett helyre.
A program minden kéréshez csatolja a kulcsot, titkosított kapcsolaton keresztül.
A szolgáltató ellenőrzi, hogy a kulcs érvényes-e, mire jogosít, és nem lépted-e túl a keretedet; ha minden rendben, válaszol, és feljegyzi a használatot.
Ha a kulcs kiszivárog vagy már nincs rá szükség, a fiókodban visszavonod, és újat kérsz helyette; a régi többnyire azonnal, de legfeljebb néhány percen belül használhatatlanná válik. A visszavonás a korábbi visszaélést nem teszi meg nem történtté, ezért a használati naplót és a számlát is érdemes átnézni.

Példa a mindennapokból

Kipróbálsz egy új jegyzetelő alkalmazást, amely AI-összefoglalót is ígér, de előbb azt kéri: „add meg a saját API-kulcsodat”. Ilyenkor a nyelvi modell szolgáltatójánál létrehozol egy kulcsot, bemásolod, és onnantól az alkalmazás a te keretedből, a te számládra kéri az összefoglalókat.

Kit érint

fejlesztőNap mint nap kulcsokkal dolgozik, és az ő felelőssége, hogy azok ne kerüljenek nyilvános kódba, naplóba vagy képernyőfotóra. → Kód

vállalkozó, vezetőEgy kiszivárgott céges kulcs órák alatt komoly számlát és adatvédelmi incidenst okozhat, ezért szabályozni kell, ki és hogyan kezeli.

munkavállalóHa AI-eszközt vagy agentet kötsz össze céges rendszerekkel, jó eséllyel kulcsot kapsz a kezedbe, amelyet nem szabad e-mailben vagy csevegésben továbbküldeni. → Munka és HR

mindenkiEgyre több alkalmazás kéri, hogy saját kulcsot adj meg, és érdemes tudnod, hogy ezzel a pénztárcádhoz adsz hozzáférést.

Gyakori félreértés

TévhitAz API-kulcs csak egy technikai azonosító, nyugodtan megosztható vagy feltölthető a kóddal együtt.

ValójábanA kulcs titok, akár a bankkártyád adatai: aki megszerzi, a te nevedben és a te költségedre használhatja a szolgáltatást. A nyilvános kódtárakat automata programok fésülik át kiszivárgott kulcsok után, így a visszaélés perceken belül megindulhat. Kivételt csak a kifejezetten nyilvánosnak szánt, úgynevezett közzétehető kulcsok jelentenek (például egy térképszolgáltatás weboldalba épített kulcsa), de ezeket is szűkíteni kell, például adott weboldalra és adott funkcióra.

Korlátok és kockázatok

A kulcs önmagában nem bizonyítja, hogy ki használja: bárkit beenged, akinél ott van, ezért az ellopott kulcs teljes értékű belépő.
Sok kulcs alapból túl sokra jogosít és sosem jár le; ha lehet, szűkítsd a jogosultságait, állíts be költségkeretet, és cseréld rendszeresen.
Ha egy agentnek adsz kulcsot, az mindent megtehet, amire a kulcs feljogosít, akkor is, ha félreérti a feladatot vagy rosszindulatú utasítást kap.
Weboldalba vagy mobilalkalmazásba épített kulcsot hozzáértő ember ki tud olvasni, ezért a valóban titkos kulcsnak a szerveren a helye.

Hasonló, de nem ugyanaz

Jelszó – A jelszót ember gépeli be a saját fiókjához, az API-kulcsot program használja, és jellemzően egy alkalmazáshoz vagy projekthez tartozik.
Hozzáférési token – A token többnyire rövid életű, szűk jogosultságra szól, és gyakran egy konkrét felhasználó beleegyezésével jön létre, míg az API-kulcs jellemzően hosszú életű és visszavonásig érvényes.
Titkosítási kulcs – A titkosítási kulcs adatokat tesz olvashatatlanná és újra olvashatóvá, az API-kulcs viszont semmit sem titkosít, csak belépőként szolgál.

Kapcsolódó fogalmak

Tágabb

Hitelesítés, Hozzáférés-kezelés, Kiberbiztonság

Szűkebb

Titkos API-kulcs, Közzétehető kulcs, Korlátozott jogosultságú kulcs

Rokon

API, Hozzáférési token, OAuth, Titokkezelés, Kéréskorlátozás

Röviden a története

Az API-kulcsok a nyilvános webes API-k megjelenésével, a 2000-es évek első felében terjedtek el, amikor a nagy internetes cégek külső fejlesztők előtt is megnyitották szolgáltatásaikat. A generatív AI térnyerésével a fejlesztők szűk köréből a hétköznapi felhasználókhoz is eljutottak.

Hol tart most

2026 végén az API-kulcs a programok közötti hozzáférés legegyszerűbb és leggyakoribb módja, az AI-szolgáltatások túlnyomó része is így érhető el. Az agentek terjedésével egyre nagyobb a nyomás, hogy a hosszú életű kulcsokat szűkebb jogosultságú, rövid életű hozzáférések váltsák fel.

Állapot: 2026. november

A hírekben

3 Agent Age-sztoriban fordul elő; a görbe a hírmagazin heti előfordulása.

Feltörték az OpenCode-ot, a felhasználók AI-számláit terhelték meg a támadók2026. okt. 19. · Kód
Árnyék-AI: a dolgozók többsége érzékeny adatot is beír AI-eszközökbe2026. szept. 21. · Munka és HR
Közel háromszorosára nőtt az AI-hoz köthető DevOps-incidensek száma2026. aug. 18. · Kód

Más nevei

API-kulcs · API kulcs · API key · API-key · API-token · hozzáférési kulcs

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.