很多人第一次把 Ollama 接进别的工具，卡在「API Key 填什么」这一步：翻遍设置页找不到，于是怀疑自己装错了版本，或者被教程带去申请某个并不存在的密钥。这篇不劝你换框架，只把「有没有密钥」「免费指什么」「要暴露到公网时怎么办」三件事讲清楚，最后给一套按场景排查的顺序。
很多人第一次把 Ollama 接进别的工具，卡在「API Key 填什么」这一步：翻遍设置页找不到，于是怀疑自己装错了版本，或者被教程带去申请某个并不存在的密钥。这篇不劝你换框架，只把三件事讲清楚——它到底有没有密钥、本地接口的「免费」免的是哪部分、要暴露到公网时该在哪一层补鉴权，最后给一套按场景走的排查顺序。
先给结论：默认状态下你不需要任何密钥，也不该去找。但这不等于「随便怎么用都行」，一旦离开本机、进入多人或对外场景，规则就完全变了。下面按小节拆开讲，每节都尽量落到能动手的步骤。
Ollama 默认就没有密钥这回事
Ollama 的设计定位是「本机跑模型的运行时」，服务默认只监听回环地址，请求从本机发出，服务端不校验调用方是谁，所以配置项里根本没有 Key 这一栏。你在客户端里看到的「API Key」输入框，是那个客户端按云端厂商的习惯做的通用模板，跟 Ollama 本身无关。判断方法很简单：不填任何密钥直接发请求，能通就说明这一层没有鉴权。
- 回环地址
- 指只接受本机发起的连接，外部机器默认连不进来
- 鉴权
- 服务端核对「你是谁、有没有权限」的过程，Ollama 默认不做这一步
- 通用模板
- 第三方工具为兼容多家云端服务，统一留了一个密钥输入框
- 先什么都不填，直接发一次请求，看是否返回正常结果；
- 如果通了，说明该层确实无鉴权，不用再折腾密钥；
- 如果工具报错，先去读它的报错文案，而不是去搜「怎么申请密钥」；
- 把工具的连接模式切到「自定义 / 兼容」再试一次。
「免费」到底免的是哪一部分
免的是调用费：模型权重在你自己的机器上跑，没有按 token 计费的环节，也没有额度限制，跑多少次就是多少次。不免的是硬件和时间：电费、显卡占用、推理时的排队等待，全算你自己的成本。想估算量级，去 算力总览（/compute） 和 部署测算（/models/deploy） 对一下当时的数字，比凭感觉靠谱。
有个不适用情形要提前说：把服务开到公网、或放进多人共用的服务器上，这时「免费」就不再是优点，而是风险。因为没有鉴权意味着任何能连到端口的人都能调用你的显卡。
| 看得到的部分 | 实际归属 |
|---|---|
| 调用不花钱 | 省下的是按量计费的成本项 |
| 没有额度上限 | 受限于本机显卡和内存的物理上限 |
| 不用注册账号 | 省掉的是账号与账单管理 |
| 推理速度 | 取决于你自己的硬件和同时使用的人数 |
客户端非要填 Key，该怎么办
绝大多数情况是客户端做了通用模板，不是你缺一个密钥。处理顺序是：先看它有没有「自定义 / 兼容」模式，很多工具在这个模式下允许把 Key 随便填一个占位字符串，只要地址填对就能跑通。地址这块是最常见的坑，往往要填到带版本前缀的那一层，只填主机名和端口容易直接 404，具体端点对照 接口端点（/ollama-api-endpoints-2） 那页。
- 确认是否支持自定义地址在工具的连接设置里找「自定义」「兼容」「本地」这类字眼；找不到就说明它内置了云端路由。
- 填一个占位密钥随便写几个字符即可，它的作用只是通过客户端的非空校验，不参与真正的身份判断。
- 核对完整端点把地址填到带版本前缀的那一层，具体写法到站内接口页面核对，不要凭记忆拼。
- 验证连通先让工具发一次最简请求，确认能拿到返回，再去调复杂参数。
如果工具只认官方域名、不接受自定义地址，那就是它内置了云端路由，本地服务无论如何都接不上。这时候要么换工具，要么在中间加一层代理把请求转过来，跟密钥没有关系。
什么时候必须自己加一道鉴权
触发条件有两个：一是把服务改成监听所有网卡，二是通过端口转发、内网穿透给同事或外部用。这两种情况下 Ollama 本身不做身份校验，等于把推理入口敞开。可行做法是在前面挂一层反向代理，在代理层加令牌校验和来源白名单，而不是指望 Ollama 自己出个 Key。
这里要注意一点：反向代理加的令牌是给「调用方」看的，跟云端服务的密钥不是一回事。它是你自己定的口令，写什么由你决定，丢了也只需要你在代理配置里换掉。
别把本地免费接口当成公共免费额度
有人把 Ollama 包装成「免费 API 中转」对外提供，这类服务的稳定性、日志留存和内容合规都不受你控制。你接进去之后，请求经过谁的机器、被记了什么、什么时候停服，你都没有发言权。要判断一个转发地址值不值得接，按 中转站真假在线实测（/tools/verify） 的流程先跑一遍，再看 中转站目录（/sites） 里有没有相关记录。
| 场景 | 风险点 | 建议 |
|---|---|---|
| 只在自己机器上用 | 基本没有 | 正常用，不用配密钥 |
| 开给同事用 | 分不清谁在用、谁占满显存 | 代理层加令牌和来源限制 |
| 对外提供给别人用 | 责任和合规落到你身上 | 先想清楚再开，别图省事 |
接第三方工具时的三种典型卡点
接工具失败，基本落在三类里，按顺序排除比乱试快得多。第一类是连不上：先确认进程在跑、端口对不对，再按 连接失败排查（/ollama-api-connection-fail） 的顺序走。第二类是连上了但报鉴权错，八成是工具写死了云端校验逻辑，这时该查它的配置说明，而不是去申请密钥。第三类是换机器就失效，常见原因是将地址写成了本机回环，跨机器访问要同时改监听地址和防火墙。
- 先确认服务活着看进程是否在运行，端口是否被占用，这是最快能排除的一层。
- 再确认能连通从本机发一次请求测试，通了再换另一台机器测。
- 最后看鉴权报错如果本机和跨机都报鉴权错，去翻工具文档确认它是否强制云端校验。
哪些情况下这条路不合适
需要给外部用户开放、要按调用量结算、要留完整审计日志的场景，本地无鉴权服务撑不起来。团队多人共用一台机器时，没有身份区分就没法定位是谁在用、谁把显存占满，出问题只能靠猜。对稳定性和并发有硬要求时，要按实际任务量重新算配置，光靠「免费」省不下停机成本。
- 要给外部用户开放：无鉴权服务不适合直接对外；
- 要按调用量结算：本地没有计费环节，得自己补统计；
- 要完整审计日志：默认不记录调用方身份；
- 多人共用一台机器：无法区分使用者；
- 对并发和稳定性有硬要求：需要按任务量重新测算配置。
反过来说，如果是个人开发、离线调试、内部小范围试验，这条路非常合适：不用申请、不用付费、改起来快。合适和不合适的分界线，主要就是「有没有外人能碰到这个端口」。
下一步想确认手上某个转发地址是否可靠，或者想看当前哪些中转站还在正常服务，去站内目录和实测页面核一遍再决定要不要接。→常见问题
Ollama 到底有没有 API Key？
默认没有。它在本机运行、只监听回环地址，不做调用方身份校验，所以没有密钥这一环。你在某些客户端看到的 Key 输入框，是那些工具为兼容云端厂商预留的通用字段，填不填都能连通本地服务。
既然不要 Key，那 ollama api key free 这个说法怎么理解？
指的是本地推理没有按量计费这一层，不是指存在一把免费的密钥。省掉的只有调用费，显卡、电费和你的时间是自付的。要对外提供服务时，还得自己补一层鉴权，那部分成本反而更实在。
把 Ollama 开到公网会不会被人白用？
会。它不做身份校验，任何能访问到端口的人都能发请求，还会占用你的显存和带宽。真要开出去，前面必须挂反向代理做令牌校验和来源白名单，最好再加访问日志，别指望它自带保护。
工具提示鉴权失败，是不是我缺一把 Key？
多数情况不是。先确认工具是否支持自定义接口或兼容模式，再看请求地址有没有带版本前缀。若它只接受官方域名，说明内置的是云端路由，这种报错换成占位字符串也解决不了，需要换工具。
不填密钥的本地接口，能直接用到生产环境吗？
要分情况。单人本机自用可以；一旦涉及多人访问、对外服务或需要审计追溯，就需要额外补鉴权、限流和日志。判断标准是：出问题时你能不能定位到具体是谁发的请求，答案是否就不能上。
