API-nøgle

API-nøgle er den lange tegnstreng, som et program, en automatisering eller en agent bruger til at identificere sig over for en API. Når jeres system kalder en AI-tjeneste, sender det nøglen med, og tjenesten godkender kaldet og poster forbruget på den konto, nøglen hører til. Derfor er en lækket nøgle både et sikkerhedsproblem og en regning.

Sådan virker API-nøgle i praksis

Når I har et abonnement hos en AI-leverandør, opretter I en eller flere API-nøgler i kontrolpanelet. Nøglen er ikke noget menneske bruger; den er det, jeres program viser for at få adgang. Forestil dig en nøgle til et opbevaringsrum: nøglen åbner døren, og alle som har den, kan tage varer ud. I softwareverdenen betyder det, at enhver opgave, automatisering eller agent, der bruger nøglen, kan sende prompts og få svar, og det faktureres på samme konto.

Hvorfor API-nøgler kræver ledelsens opmærksomhed

Når virksomheden går fra at bruge en færdig ChatGPT-klient til egne automatiseringer, stiger både risiko og regning. En lækket nøgle kan blive brugt 24/7 af en tredjepart, og I opdager det måske først, når regningen kommer. Derfor bør en leder sørge for, at nøgler kun oprettes efter godkendelse, at der er en ejer til hver nøgle, og at ansvar for rotation og revokation er fordelt. Behandl nøglen som en adgangskode: aldrig i en mail, aldrig i en prompt, aldrig i kode der deles.

Sådan kommer I i gang med API-nøgler (konkrete trin)

1. Beslut ejerskab: udpeg en ansvarlig person for hver integration.
2. Opret nøgler med mindst mulig rettighed og en klar beskrivelse i kontrolpanelet.
3. Opbevar nøglen i en hemmelig container eller password manager, ikke i mail eller delt dokument.
4. Sæt overvågning på forbrug og alarmer ved usædvanligt forbrug.
5. Roter og udskift nøgler regelmæssigt, og fjern nøgler der ikke længere bruges.

Disse trin gør jer ikke immune, men reducerer risikoen markant og gør det lettere at reagere, hvis noget går galt.

Eksempel: API-nøgle hos en IT-ansvarlig i en lille webshop

IT-ansvarlig i en webshop skal i gang med at automatisere ordrebekræftelser via en AI-agent. Klokken 09:00 på en hverdag opretter hun en API-nøgle i leverandørens kontrolpanel til integrationen og lægger den i virksomhedens password manager. Før lancering deler udvikleren nøglen i et internt Git-repository ved en fejl, i en fil kaldet config.json. To dage senere opdagede overvågningen pludselig tredoblet forbrug; nøglen var indekseret af en søgemaskine og brugt til mange forespørgsler. IT-ansvarlig revokerede nøgle, oprettede ny med lavere rettigheder, fjernede den delte fil og gennemgik adgangsreglerne. Det tog en arbejdsdag at rydde op, og det kostede supporttid at spore og lukke hullet. Læringen var konkret: læg aldrig nøgler i kode eller mail, og hav altid en procedure for hurtig revokation.

API-nøgle er ikke det samme som andre begreber

API-nøgle bruges ofte interchangeably med "access token" eller "API-token", men de kan betyde lidt forskelligt fra leverandør til leverandør. Nogle systemer bruger midlertidige access tokens, som udløber, mens en API-nøgle kan være langtidsholdbar. En API-nøgle er heller ikke en prompt: prompt er den tekst, I sender til AI'en. Heller ikke en API-platform: platformen er tjenesten, nøglen er måden, I får adgang.

Hvad du skal være opmærksom på

Giv nøgler mindst mulig adgang, sæt kvoter og alarmer, og hav en plan for hurtig revokation. Overvej at bruge miljøvariabler eller en secrets manager frem for at lægge nøgler i regneark eller kode. Hold øje med forbruget, for nøglen er den linje, regningen kommer ind på. Og husk: at rotere en nøgle er en lille besværlig opgave, men at ignorere det kan blive dyrere.

En sidste tanke: det føles som en almindelig nøgle, men den kan kopieres i et sekund. Pas på den.

Når medarbejderne selv skal kunne bruge API-nøgle og ikke bare kende ordet, sker det hurtigst på en AI-workshop.