שימוש במפתחות API של Gemini

כדי להשתמש ב-Gemini API, אתם צריכים מפתח API. אתם יכולים ליצור מפתח בחינם בכמה קליקים ב-Google AI Studio.

אחרי שמקבלים מפתח API, אפשר להתחבר ל-Gemini API באחת מהדרכים הבאות:

• הגדרת מפתח ה-API כמשתנה סביבה
• העברת מפתח ה-API באופן מפורש

לצורך בדיקה ראשונית, אפשר להגדיר מפתח API בהארדקוד, אבל זה צריך להיות זמני כי זה לא מאובטח. דוגמאות לקידוד קשיח של מפתח ה-API מופיעות בקטע הוספה מפורשת של מפתח API.

הגדרת מפתח API כמשתנה סביבה

אם מגדירים את משתנה הסביבה GEMINI_API_KEY או GOOGLE_API_KEY, מפתח ה-API יזוהה באופן אוטומטי על ידי הלקוח כשמשתמשים באחת מספריות Gemini API. מומלץ להגדיר רק אחד מהמשתנים האלה, אבל אם מגדירים את שניהם, GOOGLE_API_KEY מקבל עדיפות.

אם אתם משתמשים ב-API ל-REST או ב-JavaScript בדפדפן, תצטרכו לספק את מפתח ה-API באופן מפורש.

כך מגדירים את מפתח ה-API באופן מקומי כמשתנה הסביבה GEMINI_API_KEY במערכות הפעלה שונות.

~/.bashrc

touch ~/.bashrc
open ~/.bashrc

export GEMINI_API_KEY=<YOUR_API_KEY_HERE>

source ~/.bashrc

~/.zshrc

touch ~/.zshrc
open ~/.zshrc

export GEMINI_API_KEY=<YOUR_API_KEY_HERE>

source ~/.zshrc

ציון מפתח API באופן מפורש

במקרים מסוימים, כדאי לספק מפתח API באופן מפורש. לדוגמה:

• אתם מבצעים קריאה פשוטה ל-API ומעדיפים להגדיר את מפתח ה-API בהארדקוד.
• אתם רוצים שליטה מפורשת בלי להסתמך על גילוי אוטומטי של משתני סביבה על ידי ספריות Gemini API
• אתם משתמשים בסביבה שבה משתני סביבה לא נתמכים (למשל, באינטרנט) או שאתם מבצעים קריאות ל-REST.

בהמשך מפורטות דוגמאות לאופן שבו אפשר לספק מפתח API באופן מפורש:

from google import genai

client = genai.Client(api_key="YOUR_API_KEY")

response = client.models.generate_content(
    model="gemini-2.5-flash", contents="Explain how AI works in a few words"
)
print(response.text)

import { GoogleGenAI } from "@google/genai";

const ai = new GoogleGenAI({ apiKey: "YOUR_API_KEY" });

async function main() {
  const response = await ai.models.generateContent({
    model: "gemini-2.5-flash",
    contents: "Explain how AI works in a few words",
  });
  console.log(response.text);
}

main();

package main

import (
    "context"
    "fmt"
    "log"
    "google.golang.org/genai"
)

func main() {
    ctx := context.Background()
    client, err := genai.NewClient(ctx, &genai.ClientConfig{
        APIKey:  "YOUR_API_KEY",
        Backend: genai.BackendGeminiAPI,
    })
    if err != nil {
        log.Fatal(err)
    }

    result, err := client.Models.GenerateContent(
        ctx,
        "gemini-2.5-flash",
        genai.Text("Explain how AI works in a few words"),
        nil,
    )
    if err != nil {
        log.Fatal(err)
    }
    fmt.Println(result.Text())
}

package com.example;

import com.google.genai.Client;
import com.google.genai.types.GenerateContentResponse;

public class GenerateTextFromTextInput {
  public static void main(String[] args) {
    Client client = Client.builder().apiKey("YOUR_API_KEY").build();

    GenerateContentResponse response =
        client.models.generateContent(
            "gemini-2.5-flash",
            "Explain how AI works in a few words",
            null);

    System.out.println(response.text());
  }
}

curl "https://generativelanguage.googleapis.com/v1beta/models/gemini-2.5-flash:generateContent?key=$YOUR_API_KEY" \
  -H 'Content-Type: application/json' \
  -X POST \
  -d '{
    "contents": [
      {
        "parts": [
          {
            "text": "Explain how AI works in a few words"
          }
        ]
      }
    ]
  }'

שמירה על אבטחת מפתח ה-API

חשוב להתייחס למפתח Gemini API כמו לסיסמה. אם פרטי הכניסה נחשפו, אחרים יכולים להשתמש במכסת הפרויקט, לחייב אתכם (אם החיוב מופעל) ולגשת לנתונים הפרטיים שלכם, כמו קבצים.

כללי אבטחה קריטיים

• לעולם אל תבצעו קומיט של מפתחות API לבקרת מקור. אל תכניסו את מפתח ה-API למערכות ניהול גרסאות כמו Git.

• לעולם אל תחשפו מפתחות API בצד הלקוח. לא להשתמש במפתח ה-API ישירות באפליקציות לאינטרנט או לנייד בסביבת ייצור. אפשר לחלץ מפתחות מקוד בצד הלקוח (כולל ספריות JavaScript/TypeScript וקריאות ל-REST).

שיטות מומלצות

• שימוש בקריאות בצד השרת עם מפתחות API הדרך הכי מאובטחת להשתמש במפתח API היא לשלוח קריאה ל-Gemini API מאפליקציה בצד השרת, שבה אפשר לשמור את המפתח בסודיות.

• שימוש באסימונים זמניים לגישה בצד הלקוח (Live API בלבד): כדי לקבל גישה ישירה ל-Live API בצד הלקוח, אפשר להשתמש באסימונים זמניים. הם מגיעים עם סיכוני אבטחה נמוכים יותר ויכולים להתאים לשימוש בסביבת ייצור. מידע נוסף זמין במדריך בנושא טוקנים זמניים.

• כדאי להוסיף הגבלות למפתח: אפשר להגביל את ההרשאות של מפתח על ידי הוספת הגבלות על מפתחות API. כך מצמצמים את הנזק הפוטנציאלי אם המפתח ידלוף.

בנוסף, אפשר לעיין במאמר התמיכה הזה כדי לקבל מידע על שיטות מומלצות כלליות.