Vad är en API-nyckel? Enkel guide för nybörjare

Vad är en API-nyckel?

En API-nyckel är en unik teckensträng som används för att identifiera ett konto, projekt eller en app när ett verktyg anropar en tjänst via API. Tänk den som en teknisk legitimation för integrationen, inte som en manuell inloggning för en person.

I korthet

En API-nyckel fungerar som en identifierare när ett program eller no-code-verktyg anropar en tjänst.
Den ska normalt behandlas som hemlig, särskilt om den kan ge åtkomst till data eller skapa kostnader.
Vissa nycklar är avsedda för webbsidor eller appar, men de måste ändå begränsas hårt till rätt webbplats, app och funktioner.
En giltig nyckel kan ändå stoppas av rate limits, kvoter, budgetgränser eller fel projektinställning.
Om nyckeln läcker ska du återkalla den, skapa en ny och uppdatera alla integrationer direkt.
Gå till platform.openai.com, logga in eller skapa konto, skapa ett projekt och lägg till betalmetod om plattformen kräver det.
OpenAI API använder förbetalning: minsta köp är 5 USD, förvalt belopp är 10 USD och automatisk påfyllning är på som standard vid första köpet om du inte stänger av den.
ChatGPT Plus inkluderar inte API-användning, så API-faktureringen är separat.
Skapa en projektbunden nyckel och välj normalt Restricted med Write bara på den endpoint som behövs för ditt genererande test.
Testa en enda gång i Make med prompten Svara bara med ordet OK. och kontrollera att svaret verkligen blir exakt OK.

Vad identifierar en API-nyckel och vad används den till?

En API-nyckel identifierar oftast ett konto, ett projekt eller en app, snarare än en människa som loggar in manuellt. Den representerar alltså den integration eller det arbetsflöde som ska få använda tjänsten.

Det gör att leverantören kan koppla användningen till rätt ägare, spara loggar, tillämpa regler och i vissa fall räkna kostnader på rätt konto. Nyckeln är därför vanlig i maskin-till-maskin-kommunikation där du inte vill logga in för hand varje gång.

I praktiken används nyckeln för att styra behörigheter, mäta användning, sätta kvoter och ibland debitera rätt konto. Ett vanligt nybörjarexempel är att du kopplar ett formulär eller ett arbetsflöde till en AI-tjänst: verktyget använder då din API-nyckel för att tjänsten ska förstå vilket konto eller projekt som ska svara.

Om du först vill förstå den större bilden av vad ett API är räcker det här som snabb förklaring: ett API är ett sätt för två tjänster att prata med varandra enligt bestämda regler. Den här sidan fokuserar på den nyckel som ofta krävs för att samtalet ska accepteras.

Tumregel: om någon annan kan kopiera din API-nyckel ska du utgå från att den är komprometterad.

Är en API-nyckel hemlig?

När måste den behandlas som hemlig?

Ja, en API-nyckel ska normalt behandlas som hemlig. Det gäller särskilt när nyckeln kan läsa privata data, skriva eller radera information, använda betalda API:er eller på annat sätt påverka ditt konto.

Det finns dock en viktig nyans för nybörjare: vissa nycklar är avsedda att användas på en webbsida eller i en app och är därför inte helt privata på samma sätt som en servernyckel. Men de ska ändå begränsas hårt till rätt webbplats, rätt app och rätt API-funktioner, så att de inte kan missbrukas någon annanstans.

Om en nyckel läcker kan någon annan använda din kvot, skapa oväntade kostnader eller komma åt sådant som nyckeln har rätt att använda. För bredare råd om integritet, åtkomst och säker hantering av AI-verktyg kan du läsa guiden om säker användning av AI.

En API-nyckel är inte bara en teknisk detalj. I många tjänster är den direkt kopplad till användning, loggar, resurser och fakturering.

Var ska man inte lägga sin API-nyckel?

De vanligaste läckorna sker inte genom avancerade attacker utan genom vardagliga misstag. Därför är det viktigaste att undvika platser där nyckeln lätt kan kopieras, indexeras eller hamna i loggar.

Publika GitHub-arkiv eller andra öppna kodförråd.
JavaScript som skickas till besökarens webbläsare.
Skärmbilder, videor, forumtrådar och supportärenden.
Chattar, delade dokument och interna wikis utan åtkomstkontroll.
URL:er och query-parametrar, alltså värden i webbadressen efter frågetecknet, eftersom de lättare sparas i historik, analysverktyg och serverloggar.

Före

Du klistrar in nyckeln i en publik kodfil, delar en skärmbild i chatten och skickar anrop med nyckeln direkt i URL:en. Då kan den spridas långt utanför det arbetsflöde du tänkte på.

Efter

Du lagrar nyckeln i verktygets säkra anslutning eller som miljövariabel, alltså en inställning där hemliga värden sparas utanför själva koden, och skickar den i en header, ett extra informationsfält i anropet, i stället för i URL:en. Då blir både läckrisken och skadan mindre.

API-nyckel, lösenord och åtkomsttoken – vad är skillnaden?

Begreppen blandas ofta ihop eftersom de alla används för åtkomst. Skillnaden är att de vanligtvis identifierar olika saker och används i olika delar av en tjänst.

Begrepp	Vad det vanligtvis identifierar	Typisk användning	Viktigt att veta
API-nyckel	Projekt, app eller konto	API-anrop, kvoter, loggning och ibland debitering	Är inte automatiskt samma sak som full kontoinloggning.
Lösenord	En användare	Manuell inloggning	Ska normalt inte återanvändas som API-inloggning om tjänsten har särskilda API-metoder.
Åtkomsttoken	En beviljad åtkomst eller session	Tillfällig åtkomst till specifika resurser	Har ofta kortare livslängd och tydligare valda behörigheter.
Personlig åtkomsttoken	En användare eller utvecklare	API-åtkomst med valda behörigheter	Kan vara mer finfördelad än en vanlig API-nyckel beroende på tjänst.

Olika leverantörer använder olika namn och modeller. Det viktiga för dig som nybörjare är därför inte ordet i sig, utan vad just den nyckeln eller token faktiskt får göra.

Hur skickar man en API-nyckel i ett API-anrop?

Ett API-anrop fungerar förenklat som ett flöde i fyra delar: ett verktyg skickar en begäran, nyckeln följer med, tjänsten kontrollerar reglerna och du får sedan ett svar tillbaka. Här handlar fokus alltså inte om vad nyckeln representerar, utan om var den används i själva anropet.

Begäran skickas

Ett program eller no-code-verktyg skickar ett anrop till en API-adress.

Nyckeln följer med

Anropet innehåller API-nyckeln, ofta i en header, alltså ett extra informationsfält i anropet, eller via verktygets inbyggda anslutning.

Tjänsten kontrollerar

Servern kontrollerar om nyckeln är giltig, har rätt behörighet och ligger inom kvot och andra begränsningar.

Svar returneras

Du får tillbaka data, ett nekande svar eller en felkod som visar vad som stoppade anropet.

Exempel i praktiken: Formulär -> Make eller Zapier -> AI-tjänst -> svar.

Formuläret samlar in kundens fråga eller text.
Automatiseringsverktyget lagrar API-nyckeln i sin anslutning och skickar själva anropet.
AI-tjänsten kontrollerar nyckeln, behörigheten, kvoten och vilket konto som ska belastas.
Svaret skickas tillbaka till flödet, som kan skapa ett utkast till mejl eller lägga text i ett dokument.

Exempel på ett enkelt no-code-flöde med API-nyckel

Hur ser ett enkelt API-anrop ut?

Ett vanligt upplägg är att nyckeln skickas i en HTTP-header, alltså ett extra informationsfält som följer med anropet, till exempel Authorization: Bearer DIN_API_NYCKEL. Formatet varierar dock mellan tjänster, så du behöver alltid läsa leverantörens dokumentation eller använda deras färdiga anslutning.

Var brukar nyckeln placeras?

Ofta i en HTTP-header, vilket brukar vara ett säkrare standardval.
Ibland via ett klientbibliotek, alltså leverantörens färdiga kodpaket, eller i ett no-code-fälts ruta för API-nyckel, där verktyget sköter sändningen åt dig.
I undantagsfall som query-parameter i URL:en, alltså ett värde i webbadressen efter frågetecknet, men det är sämre eftersom URL:er lättare loggas och delas vidare.

Så gör du: skapa och skydda din första API-nyckel

Om du bara vill chatta eller skriva manuellt i en vanlig AI-tjänst behöver du oftast ingen API-nyckel. Den här guiden gäller när du ska koppla ett verktyg eller ett arbetsflöde till en tjänst. Det enklaste för en nybörjare är att skapa nyckeln i OpenAI:s API-plattform och sedan göra ett litet no-code-test i Make, eftersom du då kommer från noll till ett säkert test utan att programmera. Ett enkelt alternativ är att använda samma princip i Zapier eller n8n om du redan arbetar där.

Det här behöver du

Tid: cirka 15–25 minuter första gången.
OpenAI API-kostnad: minsta förbetalning är 5 USD. Förvalt belopp är 10 USD om du inte ändrar det.
Make-kostnad för testet: Free-plan räcker. Den har 1000 credits per månad och max 2 aktiva scenarier.
Viktigt: ChatGPT Plus ger inte API-användning. API-fakturering hanteras separat.
Kostnadsskydd: projektbudget är ofta ett larm eller en mjuk gräns. Kontrollera i din version om du också kan slå på hård spärr om du vill kunna stoppa anrop, eftersom larm i sig inte alltid stoppar användningen direkt.
Säker lagring: en lösenordshanterare eller verktygets skyddade anslutning.

OpenAI-exemplet nedan bygger på officiella hjälpsidor om förbetalning, API kontra ChatGPT-abonnemang, projekt och projektbundna nycklar samt nyckelsäkerhet.

Köpta OpenAI-krediter gäller i 1 år. Saldot är inte alltid en omedelbar spärr, så användning kan i vissa fall ge negativt saldo som dras från nästa köp. Börja därför med minsta förbetalning, avstängd automatisk påfyllning och ett enda manuellt test.

Följ stegen

Starta rätt konto och projekt

Öppna API-plattformen, inte bara en vanlig chattjänst, och skapa ett separat projekt för testet.

Sätt förbetalning och kostnadsskydd

Lägg till betalmetod om det krävs, köp minsta belopp, stäng av automatisk påfyllning och sätt budgetlarm eller hård spärr om din version har det.

Skapa en projektbunden nyckel med rätt endpoint-behörighet

Skapa nyckeln i projektet och välj normalt Restricted med bara den åtkomst som behövs för testet.

Lägg in nyckeln i Make

Skapa en skyddad anslutning i Make, klistra in nyckeln där och håll testet manuellt.

Verifiera, dokumentera och öva återkalla eller rotera

Bekräfta svaret OK, skriv upp var nyckeln används och var beredd att byta den snabbt.

Öppna platform.openai.com.
Logga in eller skapa konto.
Öppna eller skapa ett projekt för testet, till exempel first-api-key-test (kan heta något annat i din version).
Lägg till betalmetod om plattformen kräver det innan du kan köpa förbetalning.
Gå till förbetalning eller fakturering (kan heta något annat i din version).
Ändra första köpet till 5 USD om 10 USD redan är förvalt och du vill börja med minsta belopp.
Stäng av Use auto-reload om du inte vill ha automatiska köp.
Sätt ett lågt budgetlarm för projektet och kontrollera om hård spärr finns i din version.
Öppna sidan för API keys i samma projekt (kan heta något annat i din version).
Skapa en ny nyckel och döp den till exempelvis make-test-2026-10.
Välj normalt Restricted och ge Write bara till den endpoint som behövs för ett genererande test (kan heta något annat i din version).
Välj inte Read Only för ett vanligt generationsanrop. Read Only passar bara när du enbart ska läsa metadata eller liknande, inte när du vill få modellen att svara.
Kopiera nyckeln direkt när den visas, eftersom hela nyckeln normalt bara visas en gång.
Spara nyckeln i en lösenordshanterare och skriv upp vilket projekt och vilket arbetsflöde den hör till.
Skapa ett gratis konto i Make om du inte redan har ett.
Skapa ett tomt scenario i Make och lägg till en OpenAI-modul (kan heta något annat i din version).
Skapa en ny anslutning i modulen och klistra in nyckeln i fältet för API-nyckel.
Klistra in testprompten nedan i meddelande- eller promptfältet.
Kör scenariot manuellt en enda gång. Lämna det avstängt eller oschemalagt efter testet.
Godkänt test är att utdata blir exakt OK och att du ser en liten användning på rätt OpenAI-projekt.

Bakgrunden till varför nycklar ska hållas hemliga, varför minsta åtkomst är viktigt och varför en giltig nyckel ändå kan stoppas av rate limits förklaras i avsnitten ovan. Här i genomgången räcker det att du gör rätt val i varje steg.

Kopiera och klistra in

Använd den här minimala prompten för att testa anslutningen utan onödiga kostnader.

Svara bara med ordet OK.

Fält	Värde
API-plattform	`platform.openai.com`
Projekt	`first-api-key-test`
Första förbetalning	5 USD
Automatisk påfyllning	Av
Budgetlarm per projekt	Låg nivå för test
Hård spärr	Slå på om din version erbjuder det och du vill kunna stoppa anrop
Nyckelnamn	`make-test-2026-10`
Behörighetsnivå	`Restricted`
Endpoint-behörighet för genererande test	`Write` bara på nödvändig endpoint (kan heta något annat i din version)
Anslutningsnamn i Make	`OpenAI testnyckel`
API-nyckel-fält i Make	Klistra in hela nyckeln exakt, utan extra mellanslag
Testprompt	`Svara bara med ordet OK.`
Testläge	Manuell körning en gång
Godkänt svar	Exakt `OK`

Kontroll före no-code-test

Kontroll	Det du vill se	Om svaret är nej
Lagring av anslutning	Nyckeln ligger i verktygets skyddade anslutning, inte i ett vanligt textfält i scenariot	Skapa om anslutningen på ett säkrare sätt innan du testar
Arbetsytebehörigheter	Det är tydligt vilka personer som kan använda anslutningen	Begränsa åtkomsten eller använd en separat arbetsyta för test
Loggsynlighet	Loggar och felmeddelanden visar inte hela nyckeln	Undvik skärmdumpar och byt verktygsinställning eller arbetssätt innan skarp drift
Separata nycklar	Du använder en testnyckel nu och sparar en annan nyckel för skarp drift	Skapa en extra projektbunden nyckel innan du går vidare
Dokumentation	Du vet vilket projekt, vilken anslutning och vilket flöde nyckeln hör till	Skriv upp det nu, annars blir rotation och felsökning onödigt svår

Förväntat resultat och säkert test

När stegen är klara har du ett eget OpenAI-projekt, förbetalning med avstängd automatisk påfyllning, en projektbunden nyckel med snäv åtkomst och en fungerande Make-anslutning. Ett godkänt test är inte bara att anslutningen sparas, utan att den manuella körningen faktiskt returnerar exakt OK.

Låt scenariot vara manuellt. Sätt ingen schemaläggning.
Kör scenariot en gång.
Öppna körningsresultatet i Make och kontrollera att modellens svar är exakt OK.
Gå tillbaka till rätt OpenAI-projekt och kontrollera att en liten användning syns där (kan heta användning, usage eller loggar i din version).
Lämna scenariot avstängt när testet är klart.
Skriv upp tre saker: projektnamn, nyckelnamn och vilken Make-anslutning som använder nyckeln.

Nästa gång du bygger något större, skapa en egen nyckel för det arbetsflödet i stället för att återanvända testnyckeln. Det gör kostnadskoll, felsökning och snabb återkallning mycket enklare.

Vanliga fel och lösningar

Problem	Trolig orsak	Lösning
Du kan logga in i ChatGPT men API-testet fungerar inte	Du har inget API-saldo eller tror att Plus räcker	Köp förbetalning i API-plattformen. ChatGPT Plus inkluderar inte API-användning.
Det går inte att köpa förbetalning	Betalmetod saknas	Lägg till betalmetod först och försök igen.
Make kan spara anslutningen men testet returnerar inte `OK`	Fel nyckel, fel projekt eller extra mellanslag i API-nyckel-fältet	Kopiera nyckeln igen från rätt projekt och klistra in den på nytt.
Du får åtkomstfel	Nyckeln är för hårt låst	För genererande test ska nyckeln normalt vara `Restricted` med `Write` på nödvändig endpoint. `Read Only` räcker inte för ett vanligt svarstest.
Testet blir dyrare än väntat	Automatisk påfyllning är på eller scenariot körs fler gånger än du tänkt	Stäng av automatisk påfyllning, lämna scenariot oschemalagt och kör bara manuellt.
Giltig nyckel men anropet stoppas ändå	Rate limit, kvot eller budgetgräns	Vänta en stund och kontrollera projektets användning och gränser.
Nyckeln hamnade i chatt, mejl, skärmbild eller dokument	Läckage	Återkalla nyckeln direkt på nyckelsidan, skapa en ny och uppdatera anslutningen i Make.
Samma nyckel används i flera flöden	Svår rotation och sämre spårbarhet	Skapa en separat nyckel per arbetsflöde och håll test och skarp drift isär.

Om en nyckel har läckt ska du utgå från att den är komprometterad. Återkalla den på nyckelsidan, skapa en ny, uppdatera alla anslutningar och kontrollera användning och kostnader. Rotera också nycklar när många personer har haft tillgång till dem eller som rutin för långlivade integrationer.

Nästa steg

Jämför Make, Zapier och n8n om du vill välja verktyg för nästa test eller automation.

Vilka behörigheter ska en API-nyckel ha?

Vad betyder minsta möjliga behörighet?

Principen minsta möjliga åtkomst betyder att nyckeln bara ska få göra det som arbetsflödet verkligen behöver. Om ett verktyg bara ska läsa data ska nyckeln inte också kunna skriva, ändra eller radera.

Detta minskar skadan om nyckeln läcker och gör det lättare att förstå varför ett anrop nekas. En för bred nyckel fungerar kanske bekvämt i början, men ger större risk längre fram.

Vilka begränsningar kan man lägga till?

Vilka API:er eller funktioner som nyckeln får använda.
Vilka resurser, projekt eller databaser som nyckeln får nå.
Vilka webbplatser som får skicka anrop om nyckeln används på en webbsida eller i en app.
Vilka IP-adresser eller servrar som får använda nyckeln.
Vilka appar eller klienttyper som är godkända.

För ett litet företag är en bra vana att skapa separata nycklar för separata arbetsflöden. Ett formulär till AI-svar, en intern rapportintegration och en webbplatskoppling bör helst inte dela samma nyckel, eftersom säkerhet, loggning och felsökning blir sämre då.

Vad är rate limits och varför fungerar nyckeln ibland ändå inte?

Vad betyder kvot och hastighetsgräns?

Rate limits är gränser för hur många anrop du får göra under en viss tid. En tjänst kan också ha kvoter per dag, per månad, per mängd data, per kostnadsnivå eller per antal samtidiga begäranden.

Det betyder att en API-nyckel kan vara helt korrekt men ändå nekas tillfälligt. Felet ligger då inte i att nyckeln är ogiltig, utan i att användningen har nått en gräns.

Vad innebär felkoden 429?

429 Too Many Requests betyder vanligtvis att du skickar för många anrop för snabbt eller att projektet har nått en definierad gräns. Det är alltså något annat än en felkopierad nyckel eller saknad behörighet.

Symptom	Trolig orsak	Vad du testar först
Ogiltig nyckel eller 401	Felkopierad eller återkallad nyckel	Kopiera in nyckeln på nytt och kontrollera om den fortfarande är aktiv.
Nekad åtkomst eller 403	Saknad behörighet eller för hård klientbegränsning	Kontrollera vad nyckeln får göra och varifrån den får användas.
Rätt konto men anropet misslyckas ändå	Fel projekt, fel konto eller API:t är inte aktiverat	Kontrollera att du står i rätt projekt och att rätt API verkligen är påslaget.
429 Too Many Requests	Rate limit, kvot eller budgetgräns nådd	Vänta en stund, sänk takten och kontrollera kvot, budget och användningsloggar.

Om nyckeln fortfarande inte fungerar, gå igenom den här checklistan i ordning. Det är ofta snabbare än att gissa.

Är nyckeln rätt kopierad utan extra mellanslag eller saknade tecken?
Har nyckeln återkallats eller ersatts av en ny?
Ligger arbetsflödet i fel projekt eller på fel konto?
Är det aktuella API:t verkligen aktiverat hos leverantören?
Blockerar en webbplats-, app- eller IP-begränsning anropet?
Är behörigheten för snäv för just den funktion du försöker använda?
Har du nått rate limit, kvot eller budgetgräns trots att nyckeln i sig är giltig?

Vanliga frågor

Hur märker jag att min API-nyckel används av fel person eller verktyg?

Vanliga tecken är oväntade kostnader, ovanligt hög användning, loggar från fel webbplats eller server och att kvoten tar slut snabbare än väntat. Om något ser konstigt ut bör du återkalla nyckeln och skapa en ny.

Nästa steg

Om du vill gå vidare från begreppet API-nyckel till praktisk användning utan programmering är det här de bästa interna nästa stegen.

Fortsätt med hur du bygger arbetsflöden och automatiserar utan kod.

Källor

Den här guiden är skriven och faktakontrollerad av AI-agenter mot källorna ovan, som en del av maskinlarning.se – en sajt som byggs helt av AI.

Senast uppdaterad: 18 oktober 2026

Ser du något som är fel eller har blivit inaktuellt? Hör av dig så rättar vi.

Vad är en API-nyckel?