Свой шлюз или готовый

«Self-hosting» здесь значит запуск официального Anthropic SDK за собственным слоем аутентификации и лимитов (чаще всего Kong, Cloudflare Workers или внутренний Express/Fastify). На больших объёмах это разумно, но честный подсчёт стоимости такого решения встречается редко.

Что нужно построить самому

• Выпуск, ротация, отзыв API-ключей
• Лимит запросов на ключ (token bucket + Redis)
• Список разрешённых моделей для каждого ключа
• Список разрешённых IP для каждого ключа
• Учёт использования (входные, выходные и кэш-токены) по ключу, модели и дню
• Расчёт стоимости в центах за 1M токенов, маржа включена
• Пополнение баланса и подключение платёжных провайдеров (СБП, карты, крипто для РФ и СНГ)
• Прокси для SSE-стриминга с backpressure
• Преобразователь в OpenAI-совместимый формат (chat.completions ↔ messages)
• Обработка вебхуков платежей и chargeback
• Административный интерфейс для управления sub-org
• Журнал аудита и экспорт по GDPR
• Дашборд по ключам, использованию и балансу
• Дежурства on-call и SLA на uptime

Полная стоимость владения

Грубая оценка TCO за первый год при небольшой и средней нагрузке (≈100M токенов в месяц):

Архитектура, которую придётся собрать

Боевой шлюз нельзя свести к «вызову SDK». Минимальный набор узлов:

• Edge-прокси (Cloudflare Workers или NGINX): терминирует TLS и применяет лимит на ключ до вызова LLM
• Сервис аутентификации: сопоставляет bearer-токен с внутренним account_id быстрее чем за 5 мс и проверяет отзыв ключа
• Streaming-трансформер: буферизует SSE от Anthropic, считает токены на лету и отдаёт клиенту без блокировок
• Postgres для billing ledger и контроля баланса (один пропущенный запрос после нуля означает реальную потерю денег)
• Redis для счётчиков лимитов и временного состояния сессий
• Фоновые воркеры для вебхуков оплат, сверки баланса и очистки зависших стримов
• Наблюдаемость: гистограммы задержки по ключам, error budgets, алерты на 5xx от Anthropic

На каждый пункт уходит 1-3 дня. Поэтому серьёзный self-hosted шлюз стоит инженеру квартала работы, а не выходных.

Соответствие требованиям и безопасность

Защиту ключей, обращения субъектов данных, журналы и инциденты нужно проверять при любой схеме. Правовой раздел codexkey не подтверждает ни сертификацию, ни выполнение всех требований конкретного заказчика. DPA оформляется отдельно, после проверки маршрута и получателей. Если договор запрещает передачу данных за пределы вашего VPC, внешний шлюз без согласованного исключения не подходит.

Где self-host ломается первым

• 429 от Anthropic при всплесках: без корректного retry-after вы сами устраиваете себе DDoS
• Параллельные стримы: каждый SSE занимает горутину или тред, и Node по умолчанию падает примерно на 1k одновременных
• Гонка по балансу: два параллельных запроса оба проходят проверку и уводят баланс в минус, нужен SELECT FOR UPDATE
• Инвалидация кэша при смене snapshot id моделей Anthropic
• Сверка стоимости: входные и выходные токены приходят в заголовках ответа, а не запроса, поэтому биллинг идёт постфактум

Когда self-host всё ещё оправдан

• Договор запрещает выводить трафик за пределы вашего VPC или облачного аккаунта
• Вы обрабатываете данные PHI/PCI, и нужен подконтрольный вам BAA и журнал аудита
• Объём выше 10B токенов в месяц, и вы заключили прямой enterprise-контракт с Anthropic

Гибридная схема

Многие команды начинают с прототипа на codexkey и переносят нагрузку на собственный шлюз лишь тогда, когда выполняется одно из условий выше. Благодаря OpenAI-совместимому интерфейсу codexkey такой переход в основном сводится к смене конфигурации.

Как мигрировать на self-host позже

codexkey отдаёт и родной интерфейс Anthropic, и OpenAI-совместимый, поэтому клиентский код переносится. Решив перейти на self-host, вы меняете только base URL и логику выпуска ключей, форма запросов и ответов остаётся прежней. Большинство команд, взявших self-host слишком рано, признают, что на управляемом шлюзе выпустили бы продукт на 4-8 недель быстрее.

Реальные цифры от тех, кто пробовал

По опросам команд, которые сначала взяли self-host, а потом отказались, медианное время до первого платящего клиента составляло 9 недель. Те же команды на codexkey выпускались за 2-5 дней. Юнит-экономика в пользу self-host разворачивается только выше ~5B токенов в месяц и при готовой платформенной команде; ниже часы инженеров дороже наценки.

FAQ

Можно ли использовать свой ключ Anthropic в codexkey?

Нет. codexkey работает как реселлер: платите вы codexkey, а не Anthropic, а контракт с upstream держим мы.

Есть ли лимиты запросов на ключ?

У ключа можно задать название, канал Premium или Cheap, резервный Premium для Cheap и срок действия; статистика показывает расход. RPM/TPM, параллелизм, бюджеты, списки моделей, IP-фильтры и ограничения IDE через API ключей личного кабинета не настраиваются.

Можно ли экспортировать данные использования?

Да. CSV-экспорт доступен по ключу, sub-org и диапазону дат, из дашборда и через admin API.

Какая задержка холодного старта у serverless self-host?

Холодный старт Lambda или Workers добавляет 200-800 мс к первому запросу после простоя. У codexkey работает warm pool, поэтому эта цена распределена между всеми клиентами.

Как обновлять Anthropic SDK в собственном шлюзе?

Релизы @anthropic-ai/sdk вы отслеживаете сами, прогоняете интеграционные тесты на новых snapshot id и выкатываете обновление так, чтобы не оборвать клиентские стримы. В codexkey обновления SDK проходят незаметно: клиентский код не меняется.

Можно ли делить трафик 50/50 между self-host и codexkey?

Да. Многие используют codexkey как multi-region failover на случай инцидента в основном self-host шлюзе. Интерфейс API один и тот же, поэтому round-robin или взвешенная маршрутизация на балансировщике настраивается тривиально.

Окупится ли self-host на 1B токенов в месяц?

Почти никогда. Наценка codexkey на 1B токенов меньше зарплаты одного инженера платформенной команды, который поддерживал бы такой стек. Точка окупаемости лежит около 5-10B токенов в месяц, и то при готовой on-call ротации.

Что с журналами аудита и отчётами SOC 2?

Журналы сами по себе не подтверждают сертификацию SOC 2. DPA для codexkey нужно согласовывать отдельно: с фактической обработкой, получателями и мерами защиты. Для регулируемых данных сначала сверьтесь с требованиями заказчика и правовыми документами и не опирайтесь на обещания сравнительной страницы.