Lovable API Key: nereye eklenir ve nasıl korunur

Lovable'da Lovable API Key Secrets bölümüne gider: proje araç çubuğunda More → Settings → Secrets yolunu açın ya da Lovable'ın proje sohbetinde gösterdiği Add secret formunu kullanın. Arka uç kodu anahtarı oradan okur, bu yüzden anahtar tarayıcıya hiç ulaşmaz. Anahtarı sohbet mesajı olarak yapıştırmayın ve ön uç koduna koymayın.

Kısa cevap

• Kendi anahtarınız (GPT, Claude, Resend): Secrets ya da bağlayıcının gösterdiği form.
• Lovable'ın kendi anahtarları: LOVABLE_API_KEY otomatik üretilir; çalışma alanı anahtarı (lov_…) Business veya Enterprise gerektirir.
• Kendi anahtarınızla GPT, Claude veya DeepSeek: Lovable'dan arka uç fonksiyonu isteyin, çünkü yerleşik AI bağlayıcısı anahtarınızı kullanamaz.
• Sızarsa: önce sağlayıcıda iptal edin, sonra secret'ı değiştirin.

Hangi Lovable API Key size gerekli?

Lovable API Key dört farklı şey olabilir.

Çalışma alanı anahtarı yalnızca Lovable API'sine, Lovable-API-Key başlığıyla gider ve değeri bir kez gösterilir (API anahtarı belgeleri, 2 Kasım 2026'da kontrol edildi). Projeleri yönetir ve yayınlar; yapay zekâ modellerini çağırmaz ve uygulama kurmaz (Lovable API); projenin LOVABLE_API_KEY değeri de değildir (yapay zekâ belgeleri).

Aşağıdaki her şey ilk satırla ilgili: kendi anahtarınız.

Lovable'da API anahtarı nereye eklenir

1. Lovable ister. Bir özellik anahtar gerektirdiğinde proje sohbetinde Add secret formu açılır. Değeri oraya girin, sohbet mesajı olarak değil: form değeri doğrudan projenin secret'larına kaydeder ve sohbet geçmişinin dışında tutar (Lovable'ın özel API belgeleri, 2 Kasım 2026'da kontrol edildi).
2. Siz eklersiniz. Proje araç çubuğunda More → Settings → Secrets yolunu açın, Add secret düğmesine basın ve bir veya daha fazla ad-değer çifti girin (Secrets belgeleri).

Lovable'ın 26 Ağustos 2026 tarihli changelog'u bu yolu More → Cloud → Secrets olarak adlandırıyor; menünüz farklıysa oraya bakın (changelog).

İnsanların takıldığı kurallar:

• Yalnızca yazma: bir değeri değiştirebilir veya silebilirsiniz, ama geri okuyamazsınız.
• VITE_ ile başlayan adlar reddedilir; bunlar derleme anında gömülen ve tarayıcının gördüğü değerlerdir, yerleri .env dosyasıdır.
• SUPABASE_ ve LOVABLE_ adları ayrılmıştır ve otomatik doldurulur.
• Secret'lar bir projeye aittir. Remix'ten sonra kendi anahtarlarınızı yeniden girersiniz, çünkü yalnızca Lovable'ın ürettiği anahtarlar yeniden oluşturulur.

Kendi Supabase projenizde arka uç görünümünde Supabase panosunu açan bir Manage secrets düğmesi vardır; depo orada Edge Function Secrets altındadır (Supabase secret'ları, 2 Kasım 2026'da kontrol edildi). Aynı Supabase projesini paylaşan iki Lovable projesi birbirinin secret'larının üzerine yazar, LOVABLE_API_KEY dahil (Supabase entegrasyonu).

Resend, Stripe ve Google Maps anahtarları nereye gider?

Her anahtar doğrudan Secrets'a girmez: bu servislerin bağlayıcı formları vardır (Stripe, Resend, özel API'ler, 2 Kasım 2026'da kontrol edildi).

Google Maps kuralın istisnası. Tarayıcı anahtarı tasarımı gereği herkese açıktır ve ön uca VITE_LOVABLE_CONNECTOR_GOOGLE_MAPS_BROWSER_KEY olarak ulaşır; başka sitelerin onu kullanmasını web sitesi kısıtı engeller (Google Maps, 2 Kasım 2026'da kontrol edildi). Sunucu anahtarı gizli kalır. Bağlayıcı kimlik bilgileri şifreli saklanır ve Lovable dahil kimse onları geri okuyamaz (entegrasyon güvenliği).

Kendi anahtarınızla GPT, Claude veya DeepSeek bağlama

Önce anahtar gerekip gerekmediğine bakın: yerleşik AI bağlayıcısı anahtar kullanmaz. Lovable her proje için bir LOVABLE_API_KEY üretir ve varsayılan olarak GPT-6 Astra çalıştırır; Claude sohbet modelleri yalnızca 13 Mayıs 2026'dan sonra oluşturulan yeni TanStack Start uygulamalarında vardır (yapay zekâ belgeleri, AI chat, 2 Kasım 2026'da kontrol edildi).

Bu bağlayıcı sizin anahtarınızı kullanamaz: her zaman Lovable üzerinden çalışır ve çalışma alanı kredilerini harcar. Lovable belgeleri, 2 Kasım 2026'da okuduğumuz haliyle DeepSeek'ten söz etmiyor. Kendi anahtarınız için Lovable'dan sağlayıcıyı arka uç fonksiyonundan çağırmasını isteyin ve anahtarı Secrets'a koyun.

Fonksiyon oluşturma düğmesi yok: fonksiyonu proje sohbetinde tarif edin, Lovable yazıp yayınlar (Edge functions). Yeni TanStack Start uygulamaları (13 Mayıs 2026'dan, Enterprise'da 22 Haziran 2026'dan sonra oluşturulanlar) sunucu fonksiyonu alır; eski React + Vite uygulamaları sunucuda çalışan kod olan bir Edge Function alır.

Bizim kodumuz OmniaKey'in OpenAI uyumlu API'sini kullanıyor, çünkü tek anahtar GPT-6.1 Terra, Claude Sonnet 5.5 ve DeepSeek modellerine ulaşıyor.

1. Sağlayıcınızda bir anahtar oluşturun. OmniaKey için: omniakey.com'da kaydolun ve Dashboard → tokens yolunu açın (hızlı başlangıç).

2. Bu istemi proje sohbetine yapıştırın:

   text

   Add an AI chat feature that uses my own API key, not the built-in AI connector.
   Create a backend function named "chat". It reads OMNIAKEY_API_KEY from Secrets and calls
   POST https://api.omniakey.com/v1/chat/completions with the model and messages the frontend sends.
   Only allow these models: gpt-6.1-terra, claude-sonnet-5-5, deepseek-flash.
   Require a signed-in user. Never put the key in frontend code.
   Ask me for the key with the Add secret form.
   

3. Anahtarı Add secret formunda OMNIAKEY_API_KEY adıyla girin.

Bu istemi Lovable'da çalıştırmadık, çünkü Lovable hesabımız yok; buradaki Lovable adımları belgelerinden geliyor. Fonksiyon şöyle olmalı; kendi makinemizde çalıştırdığımız sürüm bu.

// supabase/functions/chat/index.ts
// Tarayıcı { model, messages } gönderir; bu fonksiyon API anahtarını sunucuda ekler.
const corsHeaders = {
  "Access-Control-Allow-Origin": "*",
  "Access-Control-Allow-Headers": "authorization, x-client-info, apikey, content-type",
};

const ALLOWED_MODELS = ["gpt-6.1-terra", "claude-sonnet-5-5", "deepseek-flash"];

function json(body: unknown, status = 200) {
  return new Response(JSON.stringify(body), {
    status,
    headers: { ...corsHeaders, "Content-Type": "application/json" },
  });
}

Deno.serve(async (req) => {
  if (req.method === "OPTIONS") {
    return new Response("ok", { headers: corsHeaders });
  }

  const apiKey = Deno.env.get("OMNIAKEY_API_KEY");
  if (!apiKey) {
    return json({ error: "OMNIAKEY_API_KEY is not set" }, 500);
  }

  const { model, messages } = await req.json();
  if (!ALLOWED_MODELS.includes(model)) {
    return json({ error: `model must be one of: ${ALLOWED_MODELS.join(", ")}` }, 400);
  }

  const upstream = await fetch("https://api.omniakey.com/v1/chat/completions", {
    method: "POST",
    headers: {
      Authorization: `Bearer ${apiKey}`,
      "Content-Type": "application/json",
    },
    body: JSON.stringify({ model, messages, max_tokens: 800 }),
  });

  const data = await upstream.json();
  if (!upstream.ok) {
    return json({ error: data.error?.message ?? "upstream error" }, upstream.status);
  }
  return json({ reply: data.choices[0].message.content, model: data.model, usage: data.usage });
});

Test sürümümüzde oturum kontrolünü çıkardık, böylece fonksiyonu bir betikten çağırabildik; yukarıdaki istem Lovable'ın eklemesini istiyor, çünkü Lovable'ın güvenlik en iyi uygulamaları kimlik doğrulama kararının sunucuda verilmesini söylüyor (en iyi uygulamalar).

Tarayıcıdan çağrı şöyle görünür (supabase-js):

const { data, error } = await supabase.functions.invoke("chat", {
  body: { model: "deepseek-flash", messages: [{ role: "user", content: "Say hello in five words." }] },
});

Başka bir sağlayıcıda URL'yi ve model kimliklerini onun belgelerindeki değerlerle değiştirin. Bir OmniaKey anahtarı Cline'da özel API anahtarı ve Factory Droid'de özel modeller için de çalışır.

Çalıştırdığımızda ne oldu

Fonksiyonu Lovable'da değil kendi makinemizde, Deno 2.9.8 ile 2 Kasım 2026'da çalıştırdık ve bir tarayıcı gibi çağırdık: Origin başlığı ve CORS preflight ile.

Her model için bir çağrı, yani her süre tek bir örnek; deepseek-flash yanıtı deepseek-v4-1-flash-261017 olarak geldi.

Neden yalnızca "non-2xx status code" görüyorsunuz

Hata olduğunda supabase.functions.invoke yalnızca Edge Function returned a non-2xx status code döndürür ve data null olur. Fonksiyonun gerçek mesajı await error.context.json() içindedir:

if (error) {
  const details = await error.context.json();
  console.error(details.error);
}

• 401: anahtar yanlış. Bizde Invalid token (request id: …) yazıyordu.
• 500 ve OMNIAKEY_API_KEY is not set: secret yok ya da başka adla kayıtlı.
• 400: model listenizde değil.

Anahtarınızın açıkta olup olmadığını kontrol etme

Ön uç kodundaki anahtar kullanıcılar tarafından görülür ve açığa çıkmış sayılmalıdır (en iyi uygulamalar, 2 Kasım 2026'da kontrol edildi).

• Quick security scan her yayında kendiliğinden çalışır.
• Deep security scan çalışmaz: projenin Security view bölümünden başlatın (Security view).
• Leaked secrets & credentials grubuna bakın.
• İki tarama da ücretsiz; yalnızca toplu düzeltmeler 10 ücretsiz düzeltmeyi, sonrasında kredileri kullanır (güvenlik taramaları).

Elle: Chrome'da yayınlanmış uygulamanızın geliştirici araçlarını açın, Mac'te Command+Option+F, Windows ve Linux'ta Control+Shift+F tuşlarına basın ve yüklenen dosyalarda anahtarınızın ilk karakterlerini arayın. VITE_ değerinde özel bir anahtar varsa harekete geçin, çünkü bu değerler tarayıcı için derlenir (DevTools araması). Temiz bir arama yalnızca sayfanın yüklediği dosyaları kapsar, bu yüzden taramayı da çalıştırın.

Anahtarı saklamak, yabancıların fonksiyonunuzu çağırmasını engellemez: oturum kontrolü olmayan bir fonksiyonu herkes çağırabilir ve her çağrı anahtarınızdan harcar. Lovable belgeleri oturum kontrolünün sunucuda uygulanmasını söylüyor; izin listemiz ve max_tokens: 800 her çağrıyı sınırlıyor; OmniaKey belgeleri her ortam için harcama limitli ayrı bir anahtar öneriyor (OmniaKey API belgeleri).

Anahtar açığa çıktıysa ne yapmalı

1. Anahtarı veren serviste iptal edin ve orada yenisini oluşturun; Lovable belgeleri Rotate işlemini yalnızca kendi anahtarı için listeliyor (Secrets belgeleri).
2. Değeri Secrets'ta, bağlayıcı formunda veya Supabase'de değiştirin. Supabase'de fonksiyon yeni secret'ı hemen okur, yeniden dağıtım gerekmez (Supabase secret'ları). Lovable'ın yerleşik arka ucu Cloud'un aynısını yapıp yapmadığı belgelerde yazmıyor; fonksiyonu bir kez çağırıp doğrulayın.
3. Anahtarı ön uç kodundan veya .env dosyasından çıkarın ve Deep security scan'i yeniden çalıştırın.
4. Sağlayıcının kullanım sayfasında sizin yapmadığınız çağrılara bakın.

Lovable'ın kendi anahtarları farklı çalışır. LOVABLE_API_KEY için editor ve üstü rollerde Rotate işlemi vardır; yeni bir anahtar üretir ve Edge Function ortamını günceller. GitHub secret scanning'in bildirdiği çalışma alanı anahtarı (lov_…) otomatik iptal edilir; başka her yerde iptali siz yaparsınız (API anahtarı belgeleri).

Maliyeti ne kadar

Lovable'ın faturası ile sağlayıcınızın faturası ayrıdır: kendi anahtarınızla modelin kullanımını sağlayıcı faturalar ve uygulamanız Cloud'u yalnızca fonksiyonu çalıştırmak için kullanır (yapay zekâ belgeleri, Cloud, 2 Kasım 2026'da kontrol edildi).

Yerleşik AI bağlayıcısı çalışma alanı kredilerini harcar: Free, Pro ve Business ayda 4-credit yapay zekâ hakkı alır, bitince 402 döner ve hız sınırı aşılırsa 429 döner. Free planı ayrıca günde 5 build credits, ayda en fazla 30 ve ek olarak 20 Cloud credits verir (fiyatlar); Lovable'ın plan tablosunda Pro için ayda $25 karşılığı 100 credits yazıyor (abonelik planları, 2 Kasım 2026'da kontrol edildi).

OmniaKey için güncel fiyatlar GPT-6.1 Terra, Claude Sonnet 5.5 ve DeepSeek sayfalarında.

Sık sorulan sorular

Lovable API Key'imi nerede bulurum?

Hangi anahtarı kastettiğinize bağlı. LOVABLE_API_KEY proje başına üretilir ve o projenin Secrets bölümünde durur; orada yenileyebilirsiniz ama okuyamazsınız. Çalışma alanı anahtarı Workspace settings → API keys & OAuth → Workspace access tokens yolundan gelir ve bir kez gösterilir.

Ücretsiz Lovable API Key var mı?

En yakını LOVABLE_API_KEY: yerleşik AI bağlayıcısı onu her proje için üretir ve Free, Pro ve Business çalışma alanları ayda 4-credit yapay zekâ hakkına sahiptir. Çalışma alanı anahtarı Business veya Enterprise planı gerektirir.

Kendi OpenAI anahtarımı Lovable AI ile kullanabilir miyim?

Yerleşik AI bağlayıcısıyla kullanamazsınız, çünkü o her zaman Lovable üzerinden çalışır ve çalışma alanı kredilerini harcar. Kendi anahtarınız için Lovable'dan sağlayıcıyı doğrudan çağıran bir arka uç fonksiyonu isteyin ve anahtarı Secrets'a koyun.

API anahtarı Secrets'a mı .env'e mi gider?

Anahtar gizliyse ve arka uç kodu okuyorsa Secrets'a. .env dosyası uygulamaya derlenen ve tarayıcıda görünen VITE_ değerleri içindir.

Lovable neden GPT, Claude veya DeepSeek'e bağlanmıyor?

Önce fonksiyonun mesajını okuyun, sorunu adıyla söylüyor:

• 500 ve OMNIAKEY_API_KEY is not set: secret yok ya da başka adla kaydedilmiş.
• 401: anahtar yanlış veya iptal edilmiş.
• 400: model kimliği izin listenizde değil.
• 404: temel URL yanlış; bizimki /v1/chat/completions ile bitiyor ve kurulum hatalarının çoğu yanlış protokol son ekinden geliyor (OmniaKey hata belgeleri).

Tarayıcıda yalnızca Edge Function returned a non-2xx status code görürsünüz; hangi durum olduğunu görmek için yukarıdaki gibi error.context kaydını tutun.

Kontrol edilen kaynaklar

• Lovable Secrets belgeleri, 2 Kasım 2026'da kontrol edildi
• Lovable API anahtarları, 2 Kasım 2026'da kontrol edildi
• Lovable API, 2 Kasım 2026'da kontrol edildi
• Lovable MCP sunucusu, 2 Kasım 2026'da kontrol edildi
• Build with URL, 2 Kasım 2026'da kontrol edildi
• Lovable yapay zekâ özellikleri, 2 Kasım 2026'da kontrol edildi
• Lovable AI chat, 2 Kasım 2026'da kontrol edildi
• Lovable Edge functions, 2 Kasım 2026'da kontrol edildi
• Lovable Cloud, 2 Kasım 2026'da kontrol edildi
• Özel API'ler ve bağlayıcılar, 2 Kasım 2026'da kontrol edildi
• Stripe entegrasyonu, 2 Kasım 2026'da kontrol edildi
• Resend entegrasyonu, 2 Kasım 2026'da kontrol edildi
• Google Maps entegrasyonu, 2 Kasım 2026'da kontrol edildi
• Entegrasyon güvenliği, 2 Kasım 2026'da kontrol edildi
• Supabase entegrasyonu, 2 Kasım 2026'da kontrol edildi
• Lovable güvenliği, 2 Kasım 2026'da kontrol edildi
• Lovable Security view, 2 Kasım 2026'da kontrol edildi
• Lovable güvenlik en iyi uygulamaları, 2 Kasım 2026'da kontrol edildi
• Lovable abonelik planları, 2 Kasım 2026'da kontrol edildi
• Lovable changelog, 2 Kasım 2026'da kontrol edildi
• Lovable fiyatları, 2 Kasım 2026'da kontrol edildi
• Supabase Edge Function secret'ları, 2 Kasım 2026'da kontrol edildi
• Supabase functions.invoke, 2 Kasım 2026'da kontrol edildi
• Chrome DevTools araması, 2 Kasım 2026'da kontrol edildi

OmniaKey'in kendi belgeleri, 2 Kasım 2026'da kontrol edildi: hızlı başlangıç, OpenAI uyumlu API, kimlik doğrulama ve hatalar.