Недействительный API-ключ? Почему появляется «API Key Data Are Invalid» и как это исправить

Ошибка «invalid API key» — одна из самых вводящих в заблуждение при работе с API, потому что сам ключ обычно в порядке. Проблема почти всегда в том, как ключ хранится, загружается или маршрутизируется, а не в самом ключе. В этом руководстве разобраны все распространённые причины, показано, как читать реальную ошибку, возвращаемую провайдером (включая точный ответ HiAPI), и приведён чек-лист, который можно скопировать и вставить, чтобы проверить ключ от начала до конца и не потратить полдня на отладку приложения.

Почему ключ, который выглядит правильным, всё равно не работает

Ниже перечислены причины подавляющего большинства ошибок недействительного ключа, примерно в порядке частоты, с указанием способа исправления для каждой.

Пробельные символы или перевод строки в начале или конце. Это причина номер один и самая трудноуловимая, потому что напечатанный ключ выглядит нормально. Классическая ловушка — создание .env с помощью echo, который добавляет завершающий \n:

# Неправильно — добавляет перевод строки, который становится частью значения ключа
echo "HIAPI_API_KEY=sk-..." >> .env
# Правильно — без завершающего перевода строки
printf 'HIAPI_API_KEY=sk-...\n' >> .env

Завершающий перевод строки или лишний пробел превращает Bearer sk-abc в Bearer sk-abc\n, и сервер отклоняет запрос. Исправление: уберите его. В shell: KEY="$(printf '%s' "$KEY" | tr -d '[:space:]')". В коде перед формированием заголовка запроса используйте key.strip() (Python) или key.trim() (JS).

Ключ находится в неправильной переменной окружения или вообще не загружается. Ваш код читает HIAPI_API_KEY, а ваша оболочка экспортирует HIAPI_KEY. Или переменная задана в вашей интерактивной оболочке, но процесс (задача cron, контейнер Docker, CI runner) её так и не унаследовал. Исправление: перед вызовом напечатайте то, что процесс реально видит — echo "${HIAPI_API_KEY:0:6}…" — и убедитесь, что имя переменной совпадает с тем, что читает код.

Ключ отозван, заменён или истёк. Кто-то заменил ключ, коллега перегенерировал ключ, или ключ был автоматически отозван после утечки в публичный репозиторий. Старое значение теперь недействительно. Исправление: создайте новый ключ в консоли и замените все копии старого ключа.

Ключ отправляется не тому сервису. Отправка ключа OpenAI в HiAPI или ключа HiAPI в OpenAI будет отклонена, потому что принимающий сервис не выпускал этот ключ. Убедитесь, что ключ и эндпоинт относятся к одному сервису. Для генерации запросов HiAPI используется https://api.hiapi.ai/v1/tasks и ключ HiAPI.

Отсутствует или неправильно оформлена схема Bearer . Заголовок должен быть Authorization: Bearer sk-... — то есть слово Bearer, пробел, затем ключ. Отправка голого ключа, Authorization: sk-... или Bearer: sk-... приведёт к ошибке. Исправление: проверьте точную строку заголовка.

Ключ обрезан при копировании. Длинные ключи обрезаются при копировании из узкого терминала, сообщения в чате или прокручиваемого поля в UI. Исправление: сравните длину и последние несколько символов с консолью; используйте кнопку копирования, а не выделение мышью.

У ключа нет разрешений на эту модель или группу. Ключ действителен и загружен правильно, но не позволяет вызывать конкретную запрошенную модель. Такую ситуацию легко принять за «недействительный ключ», хотя на самом деле это проблема области разрешений. Исправление: выдайте ключу доступ к этой модели или используйте ключ, у которого уже есть нужные разрешения.

Реальная ошибка HiAPI (читайте, а не гадайте)

При сбое аутентификации в HiAPI вы получите HTTP 401 с таким телом ответа (проверено на практике):

{
  "error": {
    "code": "permission_denied",
    "type": "hiapi_error",
    "message": "This API key cannot use the selected model. Please check permissions or use another key. If the issue persists, contact support with request ID: 2026...Y7",
    "request_id": "2026...Y7"
  }
}

Из этого следует три вывода:

1. Код состояния — 401, code — permission_denied. HiAPI не возвращает error_key_does_not_exist или invalid_api_key — эти строки пришли из других экосистем (OpenAI использует invalid_api_key; error_key_does_not_exist — распространённая формулировка некоторых шлюзов). Если вы сопоставляете код ошибки в HiAPI, сопоставляйте permission_denied.
2. Сообщение говорит, что это проблема ключа или разрешений, что напрямую соответствует двум причинам выше: неверный или отсутствующий ключ, либо действительный ключ без доступа к этой модели. Сначала перепроверьте ключ, затем разрешения модели.
3. request_id — это то, что нужно передать поддержке. Не отправляйте скриншот терминала — укажите request_id. Это позволит специалистам поддержки найти точный неудачный запрос в своих журналах.

Всегда читайте тело JSON-ответа, а не только код состояния. Оба провайдера могут вернуть 401, но настоящая причина находится в теле ответа.

Чек-лист настройки API-ключа

Прежде чем отлаживать код приложения, пройдите этот чек-лист сверху вниз, чтобы проверить любой ключ. Он изолирует ключ от вашего фреймворка, загрузки окружения и HTTP-клиента.

1. Скопируйте ключ заново с помощью кнопки копирования в консоли — никогда не выделяйте вручную.
2. Удалите пробельные символы. Пока не доказано обратное, предполагайте наличие завершающего перевода строки.
3. Поместите ключ в переменную окружения, а не в исходный код: export HIAPI_API_KEY='sk-...'.
4. Убедитесь, что процесс её видит: echo "${HIAPI_API_KEY:0:6}…" должен вывести ваш префикс.
5. Убедитесь, что базовый URL соответствует провайдеру — для HiAPI это https://api.hiapi.ai.
6. Сделайте минимальный аутентифицированный вызов (API задач HiAPI, см. ниже).
7. Прочитайте тело ответа. Возврат taskId означает, что ключ действителен. 401 означает, что нужно перепроверить шаги 1–5; permission_denied с упоминанием модели означает, что у ключа нет доступа к этой модели.
8. Только теперь подключайте приложение. Если curl работает, а приложение нет, ошибка в загрузке окружения или формировании заголовков в коде — а не в ключе.

Минимальный вызов HiAPI для шага 6:

curl -X POST https://api.hiapi.ai/v1/tasks \
  -H "Authorization: Bearer $HIAPI_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model":"gpt-image-2/text-to-image","input":{"prompt":"a red apple on a white table"}}'

При успехе вернётся taskId; затем опрашивайте GET https://api.hiapi.ai/v1/tasks/<taskId>, пока status не станет success, и читайте URL изображения из data.output[0].url. Полные подробности см. в документации HiAPI. После успешной проверки ключа вы можете использовать его для любой модели — начните со страницы модели GPT Image 2 и переключайтесь, меняя поле model.

Создание и замена ключей

Ключи находятся в консоли HiAPI. Чтобы создать ключ, войдите и сгенерируйте новый ключ — сразу скопируйте его, поскольку полное значение показывается только один раз. Для замены без простоя сначала создайте новый ключ, разверните его везде, где использовался старый ключ, проверьте с помощью чек-листа выше, а затем отзовите старый ключ. Заменяйте ключи всякий раз, когда ключ мог быть скомпрометирован, когда уходит коллега или когда в продакшене наступает плановая ротация.

«claude code invalid api key» — честный ответ

Если Claude Code сообщает об invalid API key, проблема почти никогда не на стороне HiAPI, потому что Claude Code аутентифицируется в Anthropic. Распространённые причины:

• ANTHROPIC_API_KEY неверен, устарел или заменён. Anthropic в этом случае возвращает 401 с authentication_error / «invalid x-api-key». Исправление: задайте текущий ключ Anthropic.
• Оставшиеся переопределения base-URL или прокси. Если ANTHROPIC_BASE_URL (или настройки пользовательского прокси) указывает туда, где ваш ключ не принимается, каждый вызов будет читаться как недействительный. Исправление: снимите переопределение или убедитесь, что ключ соответствует эндпоинту, на который он указывает.

HiAPI не исправляет ключи Anthropic или OpenAI; эти учётные данные выдаются и проверяются их собственными сервисами. Если ваше приложение использует HiAPI, вызывайте единый API задач с ключом HiAPI. Изменение только базового URL не сохраняет структуру запросов и ответов OpenAI.

FAQ

Почему мой API-ключ выглядит правильным, но сообщается как недействительный? Потому что причина редко заключается в видимой строке. В порядке вероятности: завершающий перевод строки или пробел (обычно из-за использования echo вместо printf), ключ находится в неправильной переменной окружения или не загружается процессом, ключ заменён или отозван, либо ключ отправляется на неправильный базовый URL. Пройдите чек-лист выше — curl из шага 6 изолирует ключ от приложения, и один вызов скажет вам, проблема в ключе или в коде.

Как исправить invalid API key в Claude Code? Задайте текущий ANTHROPIC_API_KEY и удалите любые устаревшие ANTHROPIC_BASE_URL или переопределения прокси. Аутентификация Claude Code не связана с HiAPI. Для генерации медиа через HiAPI используйте ключ HiAPI для вызова POST https://api.hiapi.ai/v1/tasks.

Что такое error_key_does_not_exist? Это общее сообщение «этот ключ не распознан», используемое некоторыми API-шлюзами и экосистемами — оно означает, что у сервера нет записи об отправленном вами ключе. Это не код ошибки HiAPI; HiAPI возвращает HTTP 401 с permission_denied. На практике способ исправления тот же: убедитесь, что ключ актуален, не содержит пробельных символов и отправляется на базовый URL правильного провайдера.

В чём разница между 401 и 403 здесь? 401 означает, что запрос не прошёл аутентификацию — ключ отсутствует, имеет неверный формат или не распознан. 403/ответы о разрешениях означают, что аутентификация пройдена, но выполнение этого конкретного действия не разрешено. HiAPI относит случаи недостаточных разрешений ключа к 401 с permission_denied, поэтому читайте сообщение: если в нём упоминается модель, это проблема области разрешений, а не недействительный ключ.

Есть ли более быстрый способ проверить ключ, чем полное приложение? Да — один curl из чек-листа. Если он возвращает taskId, ключ в порядке, и любая оставшаяся ошибка связана с загрузкой окружения или формированием заголовков в приложении. Чтобы узнать о производственном пути с бесплатным стартовым лимитом при регистрации, где можно протестировать реальную генерацию до оплаты, см. бесплатная генерация AI-изображений без ключа.