API 키란 무엇인가? 초보자도 이해하는 발급·보안 가이드

API 키는 사람의 아이디·비밀번호가 아니라, 프로그램에게 발급해 주는 인증 패스입니다.

어떤 앱이나 코드가 다른 서비스의 기능을 빌려 쓸 때, 서버가 "이 요청은 누가 보냈나"를 알아보라고 건네주는 고유 문자열이 바로 API 키입니다.

이 글을 읽고 나면 API가 뭔지, API 키가 왜 필요한지, 그리고 왜 이 키를 함부로 흘리면 하루에 1억 원이 청구될 수도 있는지까지 한 번에 이해할 수 있습니다.

2026년 7월 기준, 초보자와 비개발자 눈높이에 맞춰 최대한 쉽게 정리했습니다.

 

API는 프로그램끼리 요청을 주고받는 창구이고, API 키는 그 창구를 두드리는 프로그램을 서버가 알아보게 하는 열쇠입니다. 사람이 로그인할 때 쓰는 비밀번호와는 역할이 완전히 다릅니다.

API가 대체 뭔데요?

먼저 API부터 짚고 갑시다.

API는 소프트웨어끼리 요청을 주고받는 창구, 즉 연결 규격입니다.

식당에 빗대면 이해가 빠릅니다.

손님(내 앱)이 주방(다른 서비스의 서버)에 직접 들어갈 수는 없습니다.

그 사이를 오가며 주문을 전달하고 음식을 가져다주는 종업원이 바로 API입니다.

덕분에 내 앱은 날씨 정보든 AI 답변이든, 남이 만든 기능을 직접 만들지 않고도 빌려 쓸 수 있습니다.

IBM과 AWS의 기술 문서도 API를 "서비스끼리 대화하게 해 주는 규격"으로 설명합니다.

---

그럼 API 키는 왜 필요한가

종업원(API)에게 아무나 다가가 "주문 받아줘"라고 하면 주방은 곤란해집니다.

진짜 우리 손님이 맞는지, 어디까지 주문할 권한이 있는지 확인이 필요하니까요.

그 확인용 신분증이 바로 API 키입니다.

도서관 회원카드를 떠올리면 딱 맞습니다.

카드를 제시하면 사서가 "이 사람 회원 맞네" 하고 책을 빌려줍니다.

API 키도 똑같습니다.

프로그램이 요청을 보낼 때 이 키를 함께 내밀면, 서버는 세 가지를 순서대로 확인합니다.

1. 이 키가 실제로 존재하는 키인가?
2. 어떤 기능까지 쓸 수 있는 권한인가?
3. 정해진 사용 한도를 넘지는 않았나?

세 관문을 통과하면 결과를 돌려주고, 막히면 401 Unauthorized(넌 누구냐) 또는 403 Forbidden(권한 없다)이라는 답이 돌아옵니다.

실제로는 요청 헤더에 Authorization: Bearer sk-... 같은 형태로 키를 실어 보냅니다.

비밀번호랑 뭐가 다른가요?

초보자가 가장 많이 헷갈리는 지점입니다.

한 줄로 정리하면 이렇습니다.

비밀번호는 사람이 로그인할 때, API 키는 프로그램이 다른 프로그램 기능을 쓸 때 씁니다.

둘의 차이를 표로 보면 확실해집니다.

구분	비밀번호	API 키
쓰는 주체	사람	프로그램
입력 방식	사람이 직접 입력	코드에 넣어 자동 전송
권한 범위	계정 전체	지정한 기능 일부만
교체 주기	가끔	정기 교체 권장(30~90일)
노출됐을 때	계정 전체가 위험	해당 API 권한만 위험

포인트는 이겁니다.

내 계정 비밀번호를 몰라도, API 키만 손에 넣으면 그 키에 걸린 권한만큼은 남이 마음대로 쓸 수 있습니다.

그래서 키를 비밀번호만큼, 어쩌면 그 이상으로 조심해서 다뤄야 합니다.

 

---

키 하나 흘렸다가 하루 1억이 청구된다고?

과장이 아닙니다.

보안 회사 GitGuardian의 2026년 보고서에 따르면, 2025년 한 해 동안 GitHub에 실수로 올라간 자격증명(키·비밀번호 등)이 약 2,865만 건 노출됐습니다.

전년보다 34% 늘어난 수치이고, 그중 AI 서비스 관련 자격증명 노출은 81%나 급증했습니다.

실제 피해 사례도 있습니다.

도용된 구글 클라우드 API 키로 하루에 $82,314, 우리 돈 약 1억 1천만 원이 청구된 사례가 보고됐습니다.

도난당한 Claude Opus 키로는 4.5일 만에 약 5만 달러가 빠져나가기도 했습니다.

키가 왜 이렇게 위험한지는 자판기 코인에 빗대 보면 와닿습니다.

API 키는 내 계정에 물린 전용 코인 지갑과 같습니다.

누가 그 코인을 쓰든 요금은 전부 내 계정에서 빠져나갑니다.

그래서 노출을 막는 기본 수칙 몇 가지는 초보자도 꼭 알아둬야 합니다.

# 키는 코드에 직접 쓰지 말고 .env 파일에 보관
OPENAI_API_KEY=sk-여기에_실제_키
GEMINI_API_KEY=AIza여기에_실제_키

# .gitignore 에 .env 를 추가해 깃허브 업로드 차단
.env

 

정리하면 이렇습니다.

키는 .env 같은 별도 파일에 넣고 코드에 직접 박지 않기, 그 파일은 .gitignore로 업로드 차단하기, 노출이 의심되면 즉시 키를 폐기(revoke)하고 새로 발급하기, 그리고 키에 특정 기능·IP 제한을 걸고 30~90일마다 교체하기.

개인적으로는 이 중에서 "노출되면 미련 없이 즉시 폐기"라는 습관 하나가 가장 중요하다고 봅니다.

한 번 깃허브에 올라간 키는 커밋 기록에 남아 이미 노출된 것으로 간주해야 하니까요.

키는 어디서 발급받나 (OpenAI·Gemini·Claude)

대표적인 AI 서비스 세 곳의 발급 위치만 알아두면 충분합니다.

2026년 7월 기준이며, 화면 메뉴 위치는 서비스 업데이트로 바뀔 수 있으니 발급 전 각 사이트를 한 번 더 확인하는 편이 안전합니다.

OpenAI는 platform.openai.com에서 Settings → API Keys → Create new secret key로 발급합니다.

키는 sk-로 시작하고, 결제수단 등록이 필요합니다.

🔑 OpenAI API 키 발급 바로가기 →

Google Gemini는 발급 창구가 두 곳입니다.

가볍게 시작한다면 AI Studio가 답입니다. Get API key → Create만 누르면 끝이고, 구글 계정만 있으면 됩니다.

키는 AIza로 시작합니다.

🔑 Google AI Studio에서 키 발급 바로가기 →

프로젝트 결제나 $300 무료 크레딧과 묶어 쓰려면 Google Cloud 콘솔 쪽입니다.

[API 및 서비스] → [사용자 인증 정보] → [API 키]로 발급하며, 어떤 API를 쓸지 제한을 걸 수 있습니다.

🔑 Google Cloud 콘솔에서 키 발급 바로가기 →

Anthropic Claude는 console.anthropic.com에서 Settings → API keys → Create Key로 만듭니다.

키는 sk-ant-로 시작하고 결제수단 등록이 필요합니다.

🔑 Anthropic Claude 콘솔 바로가기 →

어느 창구든 공통점이 하나 있습니다.

키는 생성될 때 딱 한 번만 화면에 보이고, 창을 닫으면 다시 볼 수 없습니다.

그러니 발급 즉시 안전한 곳에 복사해 두세요.

 

발급받은 키는 n8n, Make, Zapier 같은 자동화 도구에 붙여 넣어 AI 기능을 연결하는 데 쓰입니다.

비개발자가 자동화를 시작하는 첫걸음도 결국 이 순서입니다. AI 서비스에서 키를 발급받고, 자동화 도구의 Credentials 칸에 그 키를 입력하는 것.

---

자주 묻는 질문

ChatGPT 유료 구독 중인데 왜 API 키가 안 되나요?

ChatGPT Plus 구독과 OpenAI API 사용료는 완전히 별개의 결제입니다.

Plus를 결제해도 API 크레딧이 자동으로 생기지는 않습니다.

platform.openai.com에서 결제수단을 등록하고 API 크레딧을 따로 충전해야 키가 작동합니다.

키를 만들고 창을 닫았는데 어디서 다시 보나요?

다시 볼 수 없습니다.

키는 생성 시 한 번만 표시되고 재조회가 불가능합니다.

잃어버렸다면 기존 키를 삭제하고 새 키를 발급받으면 됩니다.

실수로 키를 깃허브에 올렸어요. 어떡하죠?

지금 당장 그 키를 폐기(revoke)하고 새 키를 발급하세요.

커밋 기록에 한 번 남으면 이미 노출된 것으로 봐야 합니다.

이후 청구 내역에 이상한 사용 기록이 없는지도 함께 확인하는 게 좋습니다.

정리

API 키는 어렵게 생각할 필요가 없습니다.

프로그램에게 발급해 주는 신분증이자, 내 계정에 요금이 물리는 전용 코인이라고 기억하면 됩니다.

그래서 발급은 몇 번의 클릭으로 끝나지만, 관리는 비밀번호만큼 조심해야 합니다.

키는 코드에 박지 말고 별도 파일에, 노출되면 즉시 폐기, 그리고 정기 교체.

이 세 가지만 몸에 붙여도 하루 1억 청구 같은 사고와는 거리가 멀어집니다.

 

 

참고한 자료

API·API 키의 정의는 IBM, AWS, Swagger의 기술 문서를 참고했습니다. 발급 경로는 OpenAI Quickstart, Anthropic Get started, Google AI(ai.google.dev) 문서를, 보안 통계와 사고 사례는 GitGuardian 2026 보고서와 GeekNews·Truffle Security 자료를 참고했습니다. 무료 크레딧·할당량과 발급 화면 메뉴는 정책·버전에 따라 바뀔 수 있어 발행 전 각 공식 문서 확인이 필요합니다.