OpenAI API’ye gönderilen isteğin yetkilendirilemediğini gösteren bir API kimlik doğrulama hatasıdır. Bu hata genellikle 401 Unauthorized, Incorrect API key provided, Invalid API key, authentication_error, No API key provided veya You didn’t provide an API key şeklinde görünür.
Bu hata ChatGPT web uygulamasındaki normal sohbet hatasından farklıdır. Burada sorun çoğunlukla kod tarafında kullanılan OpenAI API key, Authorization header’ı, .env dosyası, sunucu ortam değişkeni, yanlış proje anahtarı, eski key, silinmiş key veya yanlış hesap/organizasyon seçimidir.
Denediğiniz çözümü, aldığınız sonucu veya ek gözleminizi paylaşarak diğer kullanıcılara katkı sağlayabilirsiniz.
Bu hata kaydıyla ilişkili doğal arama niyetleri otomatik olarak düzenlenmiştir.
ChatGPT 401 hatası genellikle API entegrasyonu yapılırken ortaya çıkar. Kullanıcı web sitesinde, Node.js uygulamasında, Python scriptinde, Next.js API route içinde, cURL isteğinde, Postman’da veya üçüncü taraf otomasyon aracında OpenAI API çağrısı yapar; fakat sistem yetkilendirme hatası döndürür.
En sık görülen belirtiler şunlardır:
ChatGPT 401 hata kodu alınır.
OpenAI API 401 Unauthorized döner.
Incorrect API key provided mesajı görünür.
Invalid API key hatası alınır.
No API key provided uyarısı çıkar.
API key doğru sanılır ama istek başarısız olur.
Lokal ortamda çalışır, sunucuda 401 verir.
Sunucuda çalışır, local geliştirme ortamında hata verir.
.env dosyası güncellenir ama uygulama hâlâ eski key’i kullanır.
Postman’da çalışır, kod içinde çalışmaz.
Kodda çalışır, Vercel / VPS / Docker ortamında çalışmaz.
Frontend’den API çağrısı yapılırken key görünmez veya gönderilmez.
API key yanlış tırnak, boşluk veya satır sonu karakteriyle okunur.
Eski sk-... anahtarı silinmiş veya artık geçersiz olabilir.
Proje bazlı key yerine farklı hesaba ait key kullanılmış olabilir.
Bu belirtilerde en önemli ayrım şudur: 401 hatası yetkilendirme katmanında olur. Yani istek API’ye ulaşır ama OpenAI, gönderilen kimlik bilgisini geçerli veya yeterli görmez.
ChatGPT API 401 hatası çoğunlukla basit ama gözden kaçan bir yapılandırma sorunundan kaynaklanır. API anahtarı yanlış olabilir, doğru key yanlış değişkende olabilir veya istek header’ı hatalı yazılmış olabilir.
Olası nedenler şunlardır:
API key yanlış yazılmış olabilir.
API key kopyalanırken başına/sonuna boşluk eklenmiş olabilir.
API key silinmiş veya devre dışı kalmış olabilir.
Eski API key kullanılmaya devam ediyor olabilir.
.env dosyasında farklı key, hosting panelinde farklı key olabilir.
Uygulama yeniden başlatılmadığı için eski key bellekte kalmış olabilir.
Authorization header yanlış formatta gönderilmiş olabilir.
Bearer kelimesi eksik olabilir.
API key frontend tarafında okunmaya çalışılıyor olabilir.
Sunucu ortam değişkeni adı yanlış olabilir.
Docker, PM2, systemd, Vercel veya Netlify eski environment variable kullanıyor olabilir.
OpenAI hesabı yerine farklı hesap/proje key’i kullanılmış olabilir.
API key yanlış organization/project altında oluşturulmuş olabilir.
Kod içinde iki farklı API key karıştırılmış olabilir.
Üçüncü taraf araç eski key kullanıyor olabilir.
API key güvenlik nedeniyle rotate edilmiş ama uygulama güncellenmemiş olabilir.
OpenAI’nin API key yardım içeriği, API key’in yalnızca oluşturulduğu anda tam olarak gösterildiğini; kaybedilirse yeni key oluşturulup uygulamanın yeni key ile güncellenmesi gerektiğini belirtir. Ayrıca API key’in kimseyle paylaşılmaması gerektiğini de hatırlatır.
İlk adım, kullandığınız API key’in gerçekten OpenAI Platform’daki aktif anahtarınız olup olmadığını kontrol etmektir. Hata mesajındaki maskelenmiş key son karakterleriyle, sizin kullandığınız key aynı mı bakın.
Kontrol edin:
API key OpenAI Platform’da hâlâ var mı?
Key silinmiş mi?
Key başka hesaba mı ait?
Hata mesajındaki son karakterlerle key’in son karakterleri aynı mı?
Kodunuz gerçekten bu key’i mi okuyor?
Hosting ortamında başka key tanımlı mı?
Local .env ile production environment aynı mı?
OpenAI’nin resmî “Incorrect API key provided” sayfası da hata mesajında görünen key ile API key sayfasındaki key’in karşılaştırılmasını önerir.
OpenAI API key tam haliyle yalnızca oluşturulduğu anda gösterilir. Daha sonra key’in tamamını tekrar görüntüleyemezsiniz. Eğer key’i kaybettiyseniz veya doğru olduğundan emin değilseniz en temiz çözüm yeni bir key oluşturmaktır.
Yapılacaklar:
OpenAI Platform’da API keys bölümüne girin.
Yeni bir secret key oluşturun.
Key’i güvenli şekilde kopyalayın.
Eski veya şüpheli key’i devre dışı bırakın.
.env veya sunucu environment variable değerini yeni key ile güncelleyin.
Uygulamayı yeniden başlatın.
Test isteği gönderin.
API key’i e-posta, WhatsApp, GitHub, müşteri tarafı JavaScript veya public repo içinde paylaşmayın. OpenAI yardım sayfası da API key’in kimseyle paylaşılmaması gerektiğini özellikle belirtir.
OpenAI API çağrısında API key genellikle Authorization header içinde Bearer formatıyla gönderilir. Format yanlışsa key doğru olsa bile 401 alırsınız.
Doğru mantık:
Authorization: Bearer OPENAI_API_KEY
Yanlış örnekler:
Authorization: OPENAI_API_KEY
Bearer: OPENAI_API_KEY
Authorization: Basic OPENAI_API_KEY
Authorization: Bearer
cURL örneği:
curl https://api.openai.com/v1/responses \
-H "Authorization: Bearer $OPENAI_API_KEY" \
-H "Content-Type: application/json"
Burada Bearer kelimesinden sonra boşluk olmalı ve ardından API key gelmelidir. Fazladan tırnak, görünmeyen karakter, satır sonu veya boşluk da hataya neden olabilir.
env dosyasındaki değişken adını kontrol edinÇoğu projede hata API key’in kendisinden değil, değişken adının yanlış okunmasından kaynaklanır. Kod OPENAI_API_KEY beklerken .env içinde OPEN_AI_KEY yazıyorsa istek key olmadan gönderilir.
Kontrol edin:
OPENAI_API_KEY=sk-...
Kod tarafında da aynı isim okunmalı:
process.env.OPENAI_API_KEY
Şunlara dikkat edin:
Değişken adı birebir aynı mı?
Büyük/küçük harf doğru mu?
Key tırnak içine gereksiz alınmış mı?
Key sonunda boşluk var mı?
.env.local, .env.production, .env karışmış olabilir mi?
Framework hangi .env dosyasını okuyor?
Sunucuda environment variable ayrıca tanımlı mı?
Next.js, Node.js, Python, Docker, PM2 ve systemd ortamlarında .env dosyasının okunma şekli değişebilir. Bu yüzden localde çalışan kod production’da 401 verebilir.
Environment variable değiştirdikten sonra uygulama otomatik olarak yeni key’i okumayabilir. Node.js, PM2, Docker, systemd, Next.js server veya serverless ortam eski değişkeni bellekte tutabilir.
Yapılması gerekenler:
Local geliştirme sunucusunu kapatıp açın.
PM2 kullanıyorsanız restart yapın.
Docker container’ı yeniden oluşturun.
systemd servisini restart edin.
Vercel/Netlify gibi platformlarda yeniden deploy alın.
Sunucu cache veya build cache varsa temizleyin.
Özellikle “key’i değiştirdim ama hâlâ aynı 401 geliyor” durumunda sorun çoğu zaman uygulamanın eski key ile çalışmaya devam etmesidir.
Birçok geliştirici localde doğru API key kullanır ama canlı sunucuda eski key kalır. Bazen de tam tersi olur: production çalışır, local 401 verir.
Ayrım için:
Local .env içindeki key’i kontrol edin.
Hosting panelindeki environment variable değerini kontrol edin.
Docker secret veya CI/CD değişkenlerini kontrol edin.
Sunucuda print/log ile key’in tamamını yazdırmayın; yalnızca son 4 karakterini doğrulayın.
Deploy sonrası uygulamanın yeniden başladığından emin olun.
Farklı branch veya farklı proje environment’ı kullanmadığınızı kontrol edin.
Güvenli debug örneği:
console.log("OpenAI key suffix:", process.env.OPENAI_API_KEY?.slice(-4));
API key’in tamamını loglamak güvenlik riski oluşturur. Sadece son birkaç karakteri kontrol etmek yeterlidir.
OpenAI’nin resmî incorrect API key rehberi, uygulama veya script içinde iki farklı API key karıştırılmamasını önerir.
Kontrol edin:
Bir yerde .env okunuyor, başka yerde hardcoded key var mı?
SDK config ile manuel fetch farklı key mi kullanıyor?
Backend başka key, frontend başka key mi kullanıyor?
Test dosyaları eski key ile mi çalışıyor?
CI/CD secret eski key mi?
Docker image içine eski key gömülmüş olabilir mi?
Üçüncü taraf plugin kendi ayarında eski key tutuyor mu?
Kodda API key aramak için:
grep -R "sk-" .
Bu komut projede yanlışlıkla gömülmüş eski key olup olmadığını bulmaya yardımcı olabilir. Public repolarda key bırakmak ciddi güvenlik riskidir.
OpenAI API key doğrudan tarayıcı tarafındaki JavaScript içinde kullanılmamalıdır. Frontend’e koyulan key kullanıcı tarafından görülebilir ve kötüye kullanılabilir. Ayrıca bazı frontend ortamlarında environment variable hiç okunmaz veya build sırasında yanlış değer alır.
Doğru yapı:
Frontend kullanıcıdan isteği alır.
Kendi backend endpoint’inize gönderir.
Backend OpenAI API key ile OpenAI API’ye istek atar.
Sonuç frontend’e döner.
API key mutlaka sunucu tarafında saklanmalıdır. Next.js kullanıyorsanız key’i client component içinde değil, server action, route handler veya backend API route içinde kullanın.
OpenAI Platform’da farklı projeler veya organizasyonlar kullanıyorsanız, yanlış proje key’i veya yanlış organizasyon bağlamı 401/erişim sorunlarına neden olabilir. Key geçerli olsa bile beklediğiniz kaynak veya yapılandırma farklı olabilir.
Kontrol edin:
API key doğru projede mi oluşturuldu?
Yanlış OpenAI hesabında mı key oluşturdunuz?
Team/organization değişti mi?
Project bazlı limit veya erişim var mı?
Kodda organization header kullanıyorsanız doğru mu?
Eski organization ID artık geçerli mi?
Üçüncü taraf araç hangi project key’i kullanıyor?
Eğer sadece belirli bir model veya özellik çalışmıyorsa 401 yerine 403 veya model erişim hatası da alınabilir. Fakat önce key ve proje bağlamı doğrulanmalıdır.
401 hatasının ana nedeni genellikle API key/auth tarafıdır. Ancak OpenAI hesabınızda faturalandırma, hesap durumu veya platform erişimiyle ilgili sorun varsa farklı API hatalarıyla birlikte yetkilendirme sorunları da yaşayabilirsiniz.
Kontrol edin:
OpenAI Platform hesabınıza giriş yapabiliyor musunuz?
API Platform erişiminiz var mı?
Hesap devre dışı bırakılmış mı?
Billing sayfasında sorun var mı?
Kullanım limitleri veya ödeme problemi var mı?
Hesap doğrulaması tamam mı?
OpenAI’nin hesap devre dışı bırakma yardım içeriği, uygunsuz API key paylaşımı gibi durumların hesap yaptırımlarına yol açabileceğini belirtir. Bu yüzden key güvenliği önemlidir.
Eski OpenAI SDK sürümü veya yanlış SDK kullanımı API key’in doğru gönderilmemesine neden olabilir. Özellikle eski openai paketinden yeni Responses API kullanımına geçerken yapılandırmalar karışabilir.
Sorunun kodunuzda mı yoksa API key’de mi olduğunu anlamak için cURL veya Postman ile doğrudan basit test yapın.
Test mantığı:
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"
Sonuçları şöyle okuyun:
cURL çalışıyor, uygulama 401 veriyorsa sorun kod/environment tarafındadır.
cURL de 401 veriyorsa key yanlış, silinmiş veya geçersizdir.
Postman çalışıyor, server çalışmıyorsa deployment environment yanlıştır.
Local çalışıyor, production çalışmıyorsa hosting variable veya restart sorunudur.
Bu test, saatlerce kod kurcalamadan sorunun yerini hızlıca bulur.
Dify, LangChain, Flowise, n8n, Make, Zapier, WordPress eklentisi, VS Code extension, chatbot paneli veya özel admin panel kullanıyorsanız API key bu aracın kendi ayarlarında kayıtlı olabilir.
Aynı API key kendi kodunuzda çalışıyor ama üçüncü taraf araçta 401 veriyorsa sorun büyük ihtimalle aracın kayıtlı provider ayarıdır.
Bazı projelerde OpenAI API ile Azure OpenAI API karıştırılır. İkisi benzer görünse de endpoint, key ve header yapısı farklıdır. Azure key’i OpenAI endpoint’inde kullanırsanız veya OpenAI key’i Azure endpoint’inde kullanırsanız yetkilendirme hatası alırsınız.
Kontrol edin:
Endpoint api.openai.com mu?
Yoksa Azure resource endpoint’i mi?
Azure kullanıyorsanız api-key header mı gerekiyor?
OpenAI API kullanıyorsanız Authorization: Bearer ... doğru mu?
Deployment adı ile model adı karıştırılmış mı?
SDK Azure mode’da mı, normal OpenAI mode’da mı?
Bu karışıklık özellikle kurumsal projelerde sık görülür.
Tüm kontrollerden sonra 401 devam ediyorsa destek veya teknik ekip için net bilgi hazırlayın. API key’in tamamını asla paylaşmayın.
Hazırlanacak bilgiler:
Hata kodu: 401
Hata mesajının tam metni
Kullanılan endpoint
SDK dili ve sürümü
Local mi production mı?
API key’in son 4 karakteri
Environment variable adı
cURL testi sonucu
Postman testi sonucu
Yeni key ile denendi mi?
Uygulama restart/deploy edildi mi?
Üçüncü taraf araç kullanılıyor mu?
OpenAI API mi Azure OpenAI mi?
Bu bilgiler olmadan 401 hatasını teşhis etmek zorlaşır. Özellikle “local çalışıyor production çalışmıyor” gibi durumlarda environment variable ve deploy süreci mutlaka belirtilmelidir.
