Chave de API do Claude barata de revendedor é segura para usar no Claude Code?

Fala aí, beleza? Se tu chegou aqui, provavelmente achou um anúncio de chave ‘ilimitada’ pro Claude por uma fração do preço e ficou com aquela pulga atrás da orelha 😛

A vontade de economizar é legítima. Só que, quando a chave vem de terceiro, o problema deixa de ser só dinheiro: o seu código passa a trafegar por um intermediário que ninguém audita, e o uso quebra os termos de quem fornece o modelo

E o atalho por fora do canal oficial costuma sair MUITO mais caro do que parece

O que os termos da Anthropic dizem sobre revender e compartilhar chave de API

Resposta curta: revender é proibido sem aprovação, e compartilhar chave também

Os Termos Comerciais da Anthropic, que valem pra API, proíbem o cliente de revender os Serviços, a não ser com aprovação expressa da Anthropic

O mesmo documento diz que o cliente responde por TODA a atividade feita na própria conta

Ou seja: se a chave que tu comprou pertence à conta de outra pessoa, quem responde pelo que roda nela é o titular, e tu fica sem garantia nenhuma do outro lado

Nos Termos de Consumidor o texto é bem direto: ‘You may not share your Account login information, Anthropic API key, or Account credentials with anyone else. You also may not make your Account available to anyone else.’

Traduzindo: não pode compartilhar login, chave de API ou credenciais com ninguém, e não pode disponibilizar a conta pra terceiros

E a Política de Uso de 2026?

A Política de Uso de 2026 foi publicada em 8 de outubro de 2026 e entra em vigor em 12 de novembro de 2026

A seção ‘Do Not Abuse the Platform’ proíbe revenda não autorizada e acesso de terceiros ou por proxy

Ela cita dois casos bem específicos: empacotar a cota de assinaturas de consumidor (Pro e Max) como serviço de API pago, e disfarçar requisições de ferramentas de terceiros como se viessem de clientes oficiais (o famoso spoofing)

Se liga que isso descreve exatamente o modelo de negócio de boa parte das chaves ‘ilimitadas’ por aí…

E usar a assinatura de outra pessoa pelo Claude Code?

Também não rola

A documentação de legal e compliance do Claude Code diz que a Anthropic não permite que terceiros ofereçam login do Claude.ai nem encaminhem requisições usando credenciais de planos Free, Pro ou Max em nome dos usuários deles

A OpenAI tem a mesma regra?

Tem, e é tão direta quanto

Os Termos de Negócios da OpenAI proíbem comprar, vender ou transferir chaves de API de, para ou com terceiros

Os mesmos termos proíbem disponibilizar credenciais da conta a terceiros, compartilhar credenciais individuais entre vários usuários e revender ou alugar o acesso à conta

Então não é implicância de uma empresa só: chave de API é tratada como credencial pessoal da conta, e isso é prática padrão do setor

Caso real: o revendedor que vendia ‘Claude barato’ e roubava credenciais

Aqui o risco deixa de ser teórico

No relatório de ameaças de setembro de 2026, a Anthropic descreve o grupo GTG-50021, de fala russa e ucraniana, que vendia acesso barato ao Claude

O que o comprador recebia de verdade? O tráfego era desviado em silêncio pra OUTRO modelo, enquanto a ferramenta do revendedor instalava um coletor que roubava as credenciais da conta Anthropic do próprio comprador, que depois eram revendidas

Segundo o relatório, o grupo usava infraestrutura de revenda e proxy de API sediada na China pra obter e rodiziar acesso a modelos em escala, burlando as Regiões Suportadas e a Política de Uso

Mais de 400 mil requisições ao Claude passaram por mais de 1.500 contas via esses serviços de proxy

A recomendação do relatório é simples: comprar acesso a IA somente por canais autorizados

A lição pra quem tá pensando em pegar uma chave de API do Claude de revendedor: nesse caso, o cliente não recebeu nem o preço baixo nem o modelo prometido, e ainda saiu com a conta comprometida

O que trafega pelo proxy quando você pluga a chave no Claude Code

TUDO que o Claude Code manda pro modelo passa a ser visível pra quem controla o endpoint

Bora entender como isso funciona?

Como o Claude Code troca de endpoint?

A documentação de LLM gateway ensina a apontar o Claude Code pra outro endpoint pela variável ANTHROPIC_BASE_URL

Se esse endpoint expõe o formato Anthropic Messages, o Claude Code pode consultar o /v1/models dele ao iniciar

As credenciais entram por ANTHROPIC_AUTH_TOKEN, ANTHROPIC_API_KEY ou apiKeyHelper, e o apiKeyHelper tem precedência menor que as duas variáveis

É basicamente isso que o revendedor pede pra tu configurar: trocar a URL base e colar a chave dele

E o que sai da sua máquina?

Segundo a documentação de uso de dados, o Claude Code envia pela rede todos os seus prompts e as respostas do modelo

E os arquivos que ele lê são enviados por inteiro

Pensa no que isso significa num agente de código: quanto mais contexto tu dá pra ele trabalhar bem (e context engineering no Claude Code é justamente sobre isso), mais do seu projeto atravessa o endpoint

Se o agente ler um arquivo de configuração com segredos, por exemplo enquanto tu pede pra ele integrar uma API externa, esse conteúdo também vai junto

Com ANTHROPIC_BASE_URL apontando pro proxy de um desconhecido, quem recebe tudo isso primeiro é o dono do proxy

Gateway é sempre ruim, então?

Não! Gateway é recurso documentado e legítimo quando VOCÊ controla o servidor

Mas até nesse cenário a doc é cautelosa: ela avisa que a Anthropic não endossa, não mantém e não audita a segurança do LiteLLM, e traz um alerta sobre versões comprometidas dele, mandando seguir a correção em BerriAI/litellm#24518

Se nem um gateway open source conhecido escapa de alerta, imagina um servidor de revenda que tu nem sabe quem opera…

A diferença é quem tá do outro lado: servidor seu é ferramenta, servidor de desconhecido é risco

Caminho oficial x revendedor não oficial: comparação

Pra quem quer usar o Claude Code sem dor de cabeça, qualquer linha menos a última resolve, e a escolha depende do teu cenário (uso pessoal, empresa, nuvem que tu já usa)

Caminho	Quem vê o código e os prompts	Dentro dos termos?	Quem responde pela conta
Chave própria do Claude Console	A Anthropic	Sim	Você, titular da conta
Assinatura com OAuth (Free, Pro, Max, Team, Enterprise)	A Anthropic	Sim, com credencial da sua própria assinatura	Você, titular da assinatura
Provedor de nuvem documentado (Amazon Bedrock, Claude Platform on AWS, Google Vertex AI, Microsoft Foundry)	O provedor de nuvem que você contratou	Sim, é integração documentada do Claude Code	Você, na sua conta do provedor
Gateway próprio	Você (o servidor é seu) e o endpoint do modelo por trás dele	Sim, com credencial emitida pra você	Você
Revendedor ou proxy de terceiro	O dono do proxy, antes de qualquer outro	Não: revenda sem aprovação e compartilhamento de credencial são proibidos	O titular da conta original, e você fica sem garantia

Os provedores de nuvem citados são os que a página de integrações de terceiros do Claude Code documenta

Quer gastar menos com o Claude Code? Os caminhos legítimos

Dá pra economizar sem cair em revendedor, beleza?

Desde 7 de outubro de 2026, os planos Max, Ultra e Team incluem créditos mensais de API, segundo a central de ajuda da Anthropic

Esses créditos cobrem Claude API, Claude Managed Agents, Claude Agent SDK e claude -p, desde que rodados com uma chave de API da organização do Claude Console vinculada ao plano

Se tu já assina um desses planos, vale conferir se a chave da organização tá vinculada antes de pagar API por fora

Outra saída é usar modelos mais baratos por provedores legítimos, tema que o blog já cobre em outros posts

E em qualquer caminho, lembra da regra dos Termos Comerciais: o titular responde por toda a atividade da própria conta

Vídeo relacionado: Opus como chefe, Haiku trabalhando

No canal tem um vídeo sobre um jeito diferente de organizar o Claude Code, com o Opus no papel de chefe e o Haiku fazendo o trabalho

Antes de colar uma chave no Claude Code

Roda esse checklist rapidinho antes de abrir qualquer repositório:

1. O endpoint em ANTHROPIC_BASE_URL (se tiver algum configurado) é seu, da Anthropic ou de um provedor documentado? O erro comum aqui é esquecer uma URL de proxy antiga configurada no ambiente
2. A chave foi emitida na SUA conta, seja no Claude Console, na sua assinatura ou no seu provedor de nuvem?
3. Se alguma resposta for não, troca por uma chave própria do Console ou por um provedor oficial antes de deixar o agente ler o projeto

Se a chave ‘ilimitada’ não passa nesse checklist, ela não é barata, só tá cobrando de outro jeito 🙂

Até o próximo post!

Quer aprender mais sobre inteligência artificial e programação na prática? Conheça o canal Hora de Codar no YouTube e acompanhe os próximos vídeos.