Công cụ kiểm tra API key Claude chính chủ hay đi qua proxy
Nhập base URL, phần đầu key và header phản hồi để công cụ đối chiếu với tài liệu chính thức của Anthropic. Mọi phép kiểm tra chạy ngay trên trình duyệt của bạn, không gửi key tới Uptech hay máy chủ nào. Lệnh curl bạn tự chạy trên máy sẽ cho biết key có thật sự thuộc tổ chức Anthropic của công ty hay đi qua một bên trung gian.
Biên soạn: Trần Nguyễn Hữu Nhật, CEO & Founder Uptech. Dấu hiệu nhận biết đối chiếu với tài liệu chính thức của Anthropic, cập nhật .
Kiểm tra nhanh key API Claude của bạn
Công cụ chạy hoàn toàn trên trình duyệt của bạn: không gửi dữ liệu đi đâu, không lưu lại. Chỉ nhập phần đầu của key (tối đa 16 ký tự), tuyệt đối không dán key đầy đủ vào bất kỳ website nào.
curl -sS -i https://api.anthropic.com/v1/models \
-H "x-api-key: $ANTHROPIC_API_KEY" \
-H "anthropic-version: 2023-06-01"Điền base URL hoặc phần đầu của key để xem nhận định nhanh. Kết luận chắc chắn nhất đến từ bước 3: key chính chủ gọi thẳng api.anthropic.com sẽ trả HTTP 200 kèm header của Anthropic.
Các bước kiểm tra key chính chủ bằng lệnh curl
- Nạp key vào biến môi trường mà không hiện ra màn hình
Mở Terminal trên macOS hoặc Linux (Windows dùng WSL hoặc Git Bash). Chạy lệnh dưới đây, dán key rồi nhấn Enter. Key không hiện trên màn hình và không nằm trong lịch sử lệnh.
read -rs ANTHROPIC_API_KEY && export ANTHROPIC_API_KEY - Gọi thẳng endpoint Models của Anthropic
Lệnh này gửi key tới api.anthropic.com, không đi qua base URL của bên bán, và không tốn token. HTTP 200 nghĩa là Anthropic chấp nhận key. HTTP 401 authentication_error nghĩa là key không do Anthropic cấp, đã bị thu hồi hoặc hết hạn. Nếu nhận HTTP 400 báo thiếu anthropic-workspace-id, key được tạo cho nhiều workspace: thêm -H "anthropic-workspace-id: wrkspc_…" rồi chạy lại.
curl -sS -i "https://api.anthropic.com/v1/models?limit=1" -H "x-api-key: $ANTHROPIC_API_KEY" -H "anthropic-version: 2023-06-01" - Đọc header phản hồi
Tìm ba header: request-id dạng req_…, anthropic-organization-id (ID tổ chức sở hữu key) và anthropic-workspace-id dạng wrkspc_…. Dán phần header này vào công cụ. Tùy chọn -i chỉ in header phản hồi, không in key. Đừng dùng -v khi chia sẻ kết quả vì -v in cả header gửi đi.
- Gửi một tin nhắn thử rất ngắn (tùy chọn)
Lệnh này gọi Haiku 4.5 với tối đa 16 token output, chi phí không đáng kể. Phản hồi có thêm các header anthropic-ratelimit-* và trường model trong phần thân để bạn đối chiếu tên model.
curl -sS -i https://api.anthropic.com/v1/messages -H "x-api-key: $ANTHROPIC_API_KEY" -H "anthropic-version: 2023-06-01" -H "content-type: application/json" -d '{"model":"claude-haiku-4-5","max_tokens":16,"messages":[{"role":"user","content":"ping"}]}' - Đối chiếu Organization ID với tổ chức của công ty
Mở Claude Console của công ty, vào Settings > Organization để xem Organization ID. Hoặc tự tạo một key trong Console, chạy lại bước 2 với key đó và ghi lại anthropic-organization-id. Nếu hai ID trùng nhau, key thuộc tổ chức của bạn. Nếu khác, key thuộc tổ chức khác: tài khoản dùng chung, bán lại hoặc bị lộ.
- Xóa key khỏi phiên Terminal
Kiểm tra xong thì xóa biến môi trường để key không còn trong phiên làm việc.
unset ANTHROPIC_API_KEY
Dấu hiệu phân biệt key chính chủ và key proxy
| Dấu hiệu | Key chính chủ | Key proxy / gateway |
|---|---|---|
| Base URL | ✓ https://api.anthropic.com, hoặc endpoint của AWS, Google Cloud, Microsoft Foundry khi dùng qua cloud. | ✕ Tên miền của bên thứ ba. Request đi qua máy chủ trung gian trước khi (nếu có) tới Anthropic. |
| Định dạng key | ✓ Bắt đầu bằng sk-ant-; API key thường có dạng sk-ant-api…. Console chỉ hiện đủ key một lần lúc tạo. | ✕ Chuỗi sk-… không có ant, hoặc mã tự đặt. Lưu ý: key bị lộ vẫn có tiền tố sk-ant-, nên định dạng đúng chưa chứng minh key là của bạn. |
| Gọi thẳng api.anthropic.com | ✓ HTTP 200 với key của chính công ty. | ✕ HTTP 401 authentication_error: key chỉ chạy trên base URL của bên bán. |
| Header anthropic-organization-id | ✓ Trùng ID tổ chức của công ty trong Claude Console. | ✕ Khác ID của công ty: key thuộc tổ chức khác. Đây là dấu hiệu mạnh nhất. |
| Header request-id | ✓ Có request-id dạng req_…, dùng khi liên hệ hỗ trợ Anthropic. | ✕ Gợi ý: thiếu request-id hoặc khác dạng thì có lớp trung gian. Proxy có thể chuyển nguyên header, nên có request-id chưa đủ để kết luận. |
| Quản lý key | ✓ Công ty đăng nhập Console, thấy key ở Settings → API keys, tự tắt hoặc xóa key, xem Usage theo key. | ✕ Chỉ có dashboard riêng của bên bán, không tự thu hồi được key, không xem được usage gốc. |
| Hóa đơn và thanh toán | ✓ Receipt “Your receipt from Anthropic” trong Invoice history; thanh toán bằng USD qua thẻ hoặc invoicing. | ✕ Gợi ý: chuyển khoản cho cá nhân, gói theo ngày, không có chứng từ nào từ Anthropic. |
| Tên model | ✓ Tên chính thức như claude-opus-5-5, claude-sonnet-5, claude-haiku-4-5. GET /v1/models liệt kê model key được dùng. | ✕ Gợi ý: tên model lạ, thêm tiền tố hoặc hậu tố, hoặc vẫn bán model đã ngừng trên Claude API. |
| Giá | ✓ Theo bảng giá niêm yết bằng USD, ví dụ Sonnet 5 là $2 input và $10 output mỗi triệu token. Giảm hợp lệ nhờ Batch API (50%) và prompt caching. | ✕ Gợi ý: rẻ hơn nhiều giá niêm yết mà không giải thích được nguồn gốc. |
Những loại key API Claude giá rẻ thường gặp và rủi ro
Proxy hoặc relay có base URL riêng
Bạn gọi vào máy chủ của bên thứ ba, bên đó dùng credential của họ để gọi tiếp tới model. Thường đi kèm key tự đặt và tên model riêng.
Key bị đánh cắp hoặc bị lộ
Key lấy từ repo công khai, file cấu hình, hoặc từ tài khoản cloud bị chiếm quyền rồi chia quyền truy cập qua reverse proxy (kiểu tấn công LLMjacking).
Tài khoản dùng chung hoặc bán lại
Nhiều người dùng chung key của một tổ chức Anthropic không phải của bạn.
Key từ tài khoản dùng thử hoặc credit khuyến mãi
Bán key của tài khoản mới đăng ký hoặc tài khoản được cấp credit chương trình.
“API” giả lập từ gói chat Claude.ai
Bọc tài khoản Claude.ai Pro hoặc Max thành một endpoint trông giống API.
Vì sao doanh nghiệp nên kiểm tra API key Claude
Key quyết định dữ liệu của bạn đi đâu và ai chịu trách nhiệm. Commercial Terms của Anthropic ghi khách hàng chịu trách nhiệm mọi hoạt động dưới tài khoản của mình. Nếu key thuộc tổ chức khác, công ty bạn không có quan hệ hợp đồng nào với Anthropic cho phần sử dụng đó.
Trung tâm hỗ trợ của Anthropic khuyên không chia sẻ API key, giống như không chia sẻ mật khẩu. Họ cũng lưu ý rằng khi đưa key vào công cụ bên thứ ba, bạn đang cho nhà phát triển công cụ đó quyền truy cập tài khoản Console của mình.
Công cụ này kiểm tra được gì và không kiểm tra được gì
Công cụ đọc base URL, tiền tố key và header bạn dán vào, rồi so với định dạng trong tài liệu Anthropic. Nó không gọi Anthropic và không lưu dữ liệu. Để an toàn hơn, chỉ cần dán khoảng 10 đến 15 ký tự đầu của key, đủ để nhận dạng tiền tố.
Kết luận chắc chắn chỉ đến từ bước gọi thẳng api.anthropic.com và so anthropic-organization-id với tổ chức của công ty. Header nhận qua base URL của bên bán có thể bị chỉnh sửa, nên đừng chỉ dựa vào kết quả gọi qua proxy.
Khi dùng Claude qua AWS Bedrock hay Google Cloud, xác thực bằng tài khoản cloud chứ không bằng key sk-ant-. Trường hợp này hãy kiểm tra trong trang quản lý và hóa đơn của nhà cung cấp cloud.
Key bị lộ hoặc nghi bị lộ: xử lý ngay
Anthropic khuyến nghị thu hồi ngay key nghi bị lộ. Trên trang API keys, Disable là tạm tắt và bật lại được, còn Delete là xóa vĩnh viễn. Key lộ trên repo GitHub công khai sẽ bị Anthropic tự động vô hiệu hóa, nên ứng dụng dùng key đó sẽ ngừng chạy.
Sau khi thu hồi, xem lại mức dùng để biết thiệt hại và chặn chi phí phát sinh thêm.
- Tắt hoặc xóa key ở Settings → API keys trong Claude Console.
- Tạo key mới, cập nhật vào secrets manager, biến CI và máy chủ.
- Xem trang Usage lọc theo API key, và trang Cost theo model trong khoảng thời gian nghi lộ.
- Hạ hạn mức chi tiêu ở Settings → Billing trong lúc điều tra.
- Gỡ key khỏi lịch sử git, file .env đã commit, log và tin nhắn.
- Từ nay tạo key có thời hạn, dùng service account key cho production và đặt spend limit theo workspace.
Sau khi kiểm tra: nên làm gì tiếp
Nếu key là của công ty, hãy siết quản trị: mỗi môi trường một workspace, mỗi ứng dụng một key, đặt thời hạn key và hạn mức chi tiêu. Nếu key đi qua proxy hoặc thuộc tổ chức khác, hãy lên kế hoạch chuyển sang tài khoản chính chủ: tạo tổ chức, tạo key mới, xóa ANTHROPIC_BASE_URL, đổi model ID và kiểm thử trước khi cắt proxy.
Uptech giúp doanh nghiệp lập tổ chức Anthropic mang tên công ty mình; quyền Admin và việc tạo key do chính doanh nghiệp nắm. Uptech không bán key proxy, không bán lại credit. Thanh toán được hỗ trợ bằng VND, kèm hợp đồng và hóa đơn GTGT cho dịch vụ hỗ trợ mua sắm, thanh toán và triển khai. Liên hệ hotline +(84) 968 726 135 hoặc Zalo OA của Uptech.
Câu hỏi thường gặp khi kiểm tra API key Claude
Công cụ có gửi key của tôi đi đâu không?
Không. Mọi phép kiểm tra chạy trên trình duyệt của bạn, không gửi tới Uptech hay máy chủ nào. Lệnh curl gọi Anthropic do bạn tự chạy trên máy mình. Bạn cũng chỉ cần dán phần đầu của key.
Key bắt đầu bằng sk-ant- là chắc chắn chính chủ?
Chưa chắc. sk-ant- chỉ cho biết key do Anthropic cấp. Key bị lộ hay key của tổ chức khác cũng có tiền tố này. Phải so anthropic-organization-id với ID tổ chức của công ty.
Vì sao gọi api.anthropic.com báo lỗi 401?
401 authentication_error nghĩa là key sai định dạng, đã bị thu hồi hoặc hết hạn. Nếu key vẫn chạy trên base URL của bên bán mà gọi thẳng Anthropic lại lỗi 401, đó không phải key Anthropic của bạn.
Lấy ID tổ chức của công ty ở đâu để so sánh?
Thành viên tổ chức Console xem Organization ID ở trang Settings > Organization. Cách thứ hai là tự tạo một key trong Console của công ty, gọi lệnh curl ở bước 2 và đọc header anthropic-organization-id.
Chạy lệnh kiểm tra có tốn tiền không?
Gọi GET /v1/models không tốn token. Lệnh gửi tin nhắn thử dùng Haiku 4.5 với tối đa 16 token output, chi phí không đáng kể. Bước này là tùy chọn.
Proxy có thể làm giả header không?
Có thể, vì bên trung gian kiểm soát phản hồi gửi về cho bạn. Vì vậy công cụ yêu cầu gọi thẳng api.anthropic.com. Máy chủ Anthropic mới cho biết key thuộc tổ chức nào.
Key bị dùng trộm thì Anthropic có hoàn tiền không?
Chính sách credit của Anthropic ghi mọi khoản mua credit không hoàn tiền, và chưa có nguồn chính thức nào nói về ngoại lệ khi key bị lộ. Hãy thu hồi key ngay và liên hệ hỗ trợ Anthropic, kèm request-id của các request đáng ngờ.
Dùng Claude qua AWS Bedrock hay Google Cloud thì kiểm tra thế nào?
Hai nền tảng này xác thực bằng tài khoản cloud, không dùng key sk-ant-. Hãy kiểm tra tài khoản, quyền IAM và hóa đơn trong console của AWS hoặc Google Cloud.
Nguồn tham khảo: Anthropic – API overview · Anthropic – Authentication · Claude Help Center – API key best practices · Anthropic – Errors · Anthropic – Supplemental Credit Terms · Claude Help Center – Tenant Restrictions.
Cần tài khoản API Claude chính chủ đứng tên công ty, có hóa đơn VAT?
Uptech hỗ trợ tạo tài khoản Anthropic đứng tên doanh nghiệp, thanh toán VND có hợp đồng và hóa đơn GTGT, và hướng dẫn chuyển hệ thống từ key proxy sang key chính chủ.