그러나 실제 개발에서는 API 키를 코드에 직접 작성하지 않습니다. API 키가 외부에 노출되면 다른 사람이 해당 계정으로 API를 호출할 수 있기 때문입니다. 특히 GitHub 같은 저장소에 실수로 업로드하는 경우가 많으므로 주의해야 합니다.

실제로 인터넷에는 API 키 패턴을 자동으로 탐지하는 시스템과 봇이 존재합니다. 노출된 키가 악용되어 대량의 API 요청이 발생하는 사례도 있으며, 일부 서비스는 노출된 키를 자동으로 비활성화하기도 합니다.

문제는 그 비용이 모두 키를 발급한 계정으로 청구된다는 점입니다. “private 저장소라면 괜찮지 않을까?”라고 생각할 수도 있습니다. 하지만 협업 과정에서 파일이 공유되거나 실수로 공개 저장소로 변경되거나 압축 파일 형태로 전달되는 과정에서 키가 함께 노출되는 경우도 많습니다. 따라서 처음부터 코드와 API 키를 분리해 관리하는 습관을 들이는 것이 안전합니다.