APIキーの扱い(.env/環境変数、コードに直書きしない)

APIキーは「あなた専用のパスワード」

多くのAPI、特に有料のAIサービスは、利用時にAPIキーという文字列を要求します。これは「誰が使ったか」を識別し、料金を請求するための、あなた専用のパスワードのようなものです。キーが他人に漏れると、あなたのアカウントで勝手にAPIを使われ、高額な請求が来る可能性があります。だからこそ、扱いには十分な注意が必要です。

やってはいけないこと: コードに直書き

初心者が最もやりがちで、最も危険なのが、APIキーをコードに直接書いてしまうことです。動くには動きますが、そのコードをGitHubなどに公開した瞬間、世界中からキーが見えてしまいます。実際、公開リポジトリに紛れ込んだキーは、自動巡回プログラムに数分で発見・悪用されることがあります。

import requests
api_key = "sk-abc123realkey..."  # コードに直書き
headers = {"Authorization": "Bearer " + api_key}

import os
api_key = os.environ["API_KEY"]  # 環境から取得
headers = {"Authorization": "Bearer " + api_key}

環境変数と .env ファイル

環境変数とは、OSが持っている「名前と値のペア」の入れ物で、プログラムの外側から値を渡す仕組みです。キーを環境変数に入れておけば、コード本体にはキーそのものが登場せず、名前(例: API_KEY)で参照するだけで済みます。開発中は、キーを書いた .env というファイルを用意し、python-dotenv というライブラリで読み込む方法がよく使われます。

# .env ファイル(コードとは別ファイル)の中身の例:
# API_KEY=sk-abc123realkey...

# pip install python-dotenv しておく
import os
from dotenv import load_dotenv

load_dotenv()  # .env の中身を環境変数として読み込む

api_key = os.environ.get("API_KEY")  # get なら未設定でも例外にならず None
if not api_key:
    raise SystemExit("API_KEY が設定されていません。.env を確認してください")

print("キーの先頭:", api_key[:6], "...")  # 全体は絶対に表示しない