9 мин · +140 баллов
API-ключи: что, где и как
Получи ключ, храни его в .env и знай, что делать при утечке.
К концу этого урока
У тебя будет рабочий ключ бота Telegram в файле .env, который Git не сохраняет.
Когда твой инструмент заказывает по меню сервиса, сервис хочет знать, кто заказывает: чтобы считать использование, применять твои лимиты и выставлять счёт, если сервис платный. Поэтому он выдаёт ключ — длинную строку из букв и цифр. Того, у кого он в руках, сервис считает тобой.
Откуда берётся ключ
- 1Войди на сайт сервиса под своим обычным аккаунтом.
- 2Найди раздел API, Developers или Integrations. Обычно он в настройках (Settings) или в меню под твоим именем.
- 3Нажми кнопку создания ключа (Create key, New token или похожую).
- 4Скопируй длинную строку, которую покажут. Некоторые сервисы показывают её только один раз, поэтому не закрывай страницу, пока ключ не сохранён.
Где его хранить
Обычное место — файл .env в папке проекта. Инструмент читает ключ оттуда, и в коде его нет. Имя .env нужно ещё вписать в .gitignore, чтобы Git никогда его не сохранял и он не попал на GitHub.
TELEGRAM_BOT_TOKEN=paste-your-token-here
WEATHER_API_KEY=paste-your-key-here«Мой инструмент будет использовать токен бота Telegram. Создай файл .env с заглушкой для него, добавь .env в .gitignore и сделай так, чтобы код читал токен из .env. Токен в файл вставлю я, так что открой мне .env в текстовом редакторе.»
Claude подготовит оба файла и откроет .env. Замени заглушку своим токеном, без пробелов вокруг =, и сохрани. В чат токен не попадает.
›Если не получается найти .env
Файлы, чьё имя начинается с точки, скрыты в Finder и часто в Проводнике. Искать его не нужно: скажи «открой .env в текстовом редакторе», и Claude откроет его сам. Вставь ключ после =, без пробелов вокруг, и сохрани файл.
Где ключу не место никогда
- 1В самом коде, даже «только для проверки».
- 2На скриншотах, записях экрана и в видео.
- 3В сообщениях и чатах, включая чаты поддержки и форумы.
- 4На GitHub, даже в закрытом репозитории.
Зайди на сайт сервиса, удали (отзови) ключ и создай новый; старый сразу перестанет работать. Потом впиши новый ключ в .env. Если ключ хоть раз попал на GitHub, удалить его следующим коммитом мало: он остаётся в истории, и по-настоящему помогает только отзыв.
«Мой ключ от [сервис] утёк. По шагам скажи, как отозвать его на сайте сервиса и создать новый. Потом открой .env, чтобы вставить новый ключ, и проверь, что инструмент с ним работает.»
Отзыв делается на сайте сервиса, это твой шаг; Claude подскажет путь и сделает остальное.
Попробуй: ключ бота Telegram
Первый ключ за несколько минут (бесплатно)
0/6Учёт бюджета, список привычек или игра для детей работают без всяких ключей. Ключи нужны, только когда инструмент обращается к другому сервису. Прежде чем подключать платный сервис к тому, что запускается часто, спроси Claude, хватит ли бесплатного тарифа.
Заводи отдельный ключ на каждый проект, с минимальными правами и лимитом трат, если сервис это позволяет: утечка тогда дешёвая и легко отзывается. Если Claude не нужно видеть значения, добавь правило запрета вроде Read(./.env) в /permissions. На сервере держи секреты в переменных окружения или в хранилище секретов платформы, а не в репозитории. Включи на GitHub secret scanning и push protection для своих репозиториев.
Безопасный тренажёр. У тебя есть токен Telegram-бота, и ты хочешь, чтобы инструмент присылал тебе сообщения.
1Попроси Claude своими словами подготовить файл .env для токена (сам токен не вставляй!)
Ты выложил проект в открытый репозиторий на GitHub и потом заметил ключ в коде. Ты удалил его следующим коммитом. Проблема решена?
Факты проверены по официальной документации Claude Code 24 октября 2026 г. · источник
Автор
Евгений Арсентьев
PhD · CEO, digital health