Получение и использование Session JSON и Access Token для ChatGPT API: полное руководство

Что такое Session JSON и зачем он нужен

Session JSON — это фрагмент данных, который возвращает сервер ChatGPT после успешной аутентификации пользователя. Он содержит временный access token, информацию об учётной записи (email, идентификатор пользователя) и данные аккаунта. Этот JSON используется как доказательство того, что вы являетесь владельцем учётной записи, без необходимости передавать пароль.

Основное применение Session JSON — автоматизация действий от имени пользователя: подписка на платные тарифы через сторонние сервисы, интеграция с API, создание кастомных GPT-действий (Actions) с OAuth-аутентификацией. В официальной документации OpenAI подчёркивается, что access token — это временный ключ, который не заменяет пароль и не даёт доступа к истории диалогов.

Важно понимать: Session JSON не является файлом, который нужно скачивать. Это текст, который отображается в браузере при переходе по специальному адресу. Его копируют целиком и вставляют в форму сервиса, которому доверяют.

Где взять Session JSON: пошаговая инструкция

Чтобы получить Session JSON, выполните следующие шаги:

1. Откройте браузер (рекомендуется Chrome или Edge) и перейдите на сайт chatgpt.com.
2. Убедитесь, что вы вошли в ту учётную запись, для которой нужен токен. Если у вас несколько аккаунтов, проверьте email в правом верхнем углу.
3. В той же вкладке или новом окне откройте URL: https://chatgpt.com/api/auth/session.
4. Страница отобразит текст, начинающийся с { и заканчивающийся }. Это и есть Session JSON.
5. Нажмите Ctrl+A (Cmd+A на Mac), чтобы выделить весь текст, затем Ctrl+C (Cmd+C) для копирования.
6. Вернитесь в сервис, который запрашивает данные, и вставьте скопированный текст в соответствующее поле (Ctrl+V).

Если вы используете Firefox, будьте внимательны: браузер может отобразить JSON в виде раскрывающегося дерева. Переключитесь на вкладку «Raw Data» (сырые данные) и только потом копируйте. В противном случае вы скопируете не原始ный текст, а HTML-разметку, что приведёт к ошибке.

На мобильных устройствах процесс аналогичен, но из-за маленького экрана легко пропустить часть текста. Рекомендуется использовать компьютер.

Структура Session JSON: ключевые поля

Session JSON содержит три обязательных поля, которые проверяются сервисами приёма:

• accessToken — строка, начинающаяся с ey.... Это JWT-токен, который подтверждает вашу сессию. Он имеет ограниченный срок действия (обычно несколько часов или дней).
• user — объект с информацией о пользователе: id, email, name, image и другие поля. Email часто используется для идентификации аккаунта.
• account — объект с данными об аккаунте: id, provider (например, google или auth0), providerAccountId.

Пример упрощённой структуры:

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs...",
  "user": {
    "id": "user-abc123",
    "email": "[email protected]",
    "name": "Иван Иванов"
  },
  "account": {
    "id": "acc-xyz789",
    "provider": "google",
    "providerAccountId": "1234567890"
  }
}

Некоторые сервисы могут требовать только accessToken, но для безопасности и корректной работы лучше передавать весь JSON. Если вы скопируете только токен, система выдаст ошибку «неполные данные».

Как использовать Session JSON для аутентификации в API

Access token из Session JSON можно использовать для вызовов к OpenAI API от имени пользователя. Это актуально для разработчиков, создающих кастомные интеграции, или для пользователей, которые хотят автоматизировать работу с ChatGPT.

Самый распространённый способ — передача токена в HTTP-заголовке Authorization:

Authorization: Bearer eyJhbGciOiJSUzI1NiIs...

Однако официальная документация OpenAI предупреждает: токен, полученный через /api/auth/session, предназначен для веб-сессии ChatGPT, а не для прямого вызова API. Для работы с Responses API, Realtime API и другими продуктами OpenAI рекомендуется использовать отдельные API-ключи, созданные в панели управления.

Тем не менее, в некоторых сценариях (например, при использовании GPT Actions с OAuth) токен сессии может быть частью потока аутентификации. В документации OpenAI описан процесс OAuth для Custom GPT: пользователь нажимает «Sign in», после чего ChatGPT перенаправляет его на страницу авторизации, а затем получает access token, который сохраняется и используется для последующих запросов. Этот токен не равен токену из /api/auth/session, но принцип похож.

Если вы разработчик и хотите использовать Session JSON для тестирования, помните: токен живёт ограниченное время, и его нельзя использовать в production без механизма обновления.

Типичные ошибки при получении Session JSON и их решение

Пользователи часто сталкиваются с проблемами на этапе копирования и вставки Session JSON. Вот самые распространённые сценарии и способы их решения:

1. Открываю ссылку, а там только {} или пусто. Причина: вы не вошли в аккаунт ChatGPT в этом браузере, или сессия истекла. Решение: перейдите на chatgpt.com, войдите, затем обновите страницу с /api/auth/session.

2. В ответе нет поля accessToken, только warning_banner. Причина: неполная аутентификация — возможно, вы использовали вход через сторонний сервис (Google, Apple) без подтверждения email, или включены блокировщики рекламы, которые мешают загрузке скриптов. Решение: выйдите из аккаунта, очистите куки для домена chatgpt.com, войдите снова. Попробуйте в режиме инкогнито.

3. Сервис пишет «JSON формат неверный». Причина: вы скопировали не весь текст (например, только часть, начинающуюся с ey), или вставили лишние символы. Решение: вернитесь на страницу, нажмите Ctrl+A, убедитесь, что выделение начинается с { и заканчивается }, скопируйте заново.

4. Кнопка отправки неактивна (серая). Причина: не пройдена валидация формата, или сервис требует дополнительного подтверждения (например, для аккаунтов с Outlook/Hotmail). Решение: проверьте, нет ли красных сообщений об ошибке над полем ввода. Если есть предупреждение о риске для определённых почтовых доменов, прочитайте его и поставьте галочку согласия.

5. Токен принят, но потом приходит письмо «требуется обновить Access Token». Причина: токен истёк во время обработки заказа. Это нормально для длительных операций. Решение: перейдите по ссылке из письма, получите новый Session JSON и вставьте его. Заказ продолжится.

Безопасность: как защитить Session JSON и не стать жертвой мошенников

Session JSON — это цифровой ключ к вашему аккаунту ChatGPT. Хотя он не даёт доступа к паролю, злоумышленник, завладевший им, может совершать действия от вашего имени: изменять настройки, оформлять подписки, использовать API-квоты.

Основные правила безопасности:

• Никогда не передавайте Session JSON в мессенджеры, социальные сети или на форумы. Даже если вам пишет «сотрудник поддержки» — это мошенник. Легитимные сервисы запрашивают токен только через защищённую форму на своём сайте.
• Используйте только проверенные сервисы. Перед тем как вставить токен, убедитесь, что сайт использует HTTPS и имеет положительные отзывы. Не доверяйте сайтам, которые просят токен «для проверки» без объяснения причин.
• После использования токен можно аннулировать. Для этого выйдите из аккаунта ChatGPT на всех устройствах — старый токен перестанет работать. Новый токен можно получить заново при следующем входе.
• Не храните Session JSON в текстовых файлах на рабочем столе. Если ваш компьютер будет скомпрометирован, злоумышленник получит доступ к аккаунту.
• Обратите внимание на срок действия. Токен живёт не вечно. Если вы скопировали его сегодня, а используете через неделю, он, скорее всего, уже недействителен.

Помните: официальная поддержка OpenAI никогда не попросит вас прислать Session JSON. Любой запрос такого рода — фишинг.

Session JSON и OAuth: как это работает в Custom GPT Actions

Разработчики Custom GPT могут создавать Actions — внешние API-вызовы, которые выполняются от имени пользователя. Для аутентификации таких запросов используется OAuth 2.0. В документации OpenAI описан следующий процесс:

1. Пользователь открывает GPT с Action и отправляет сообщение, которое его активирует.
2. ChatGPT показывает кнопку «Sign in to [domain]».
3. Пользователь нажимает кнопку, его перенаправляют на страницу авторизации стороннего сервиса.
4. После успешного входа сервис возвращает ChatGPT авторизационный код.
5. ChatGPT обменивает этот код на access token (и, опционально, refresh token) через POST-запрос к токен-эндпоинту.
6. Полученный токен сохраняется и используется для всех последующих вызовов этого Action.

Важно: токен, полученный через OAuth, — это не Session JSON. Это отдельный токен, который сервис выдал специально для интеграции с ChatGPT. Он может иметь собственные права доступа и срок жизни.

Для настройки OAuth в Custom GPT разработчик указывает в редакторе GPT:

• Client ID и Client Secret (секрет шифруется при хранении).
• Authorization URL и Token URL.
• Scope (области доступа).
• Redirect URI — обязательно должен быть https://chatgpt.com/aip/{GPT-ID}/oauth/callback или https://chat.openai.com/aip/{GPT-ID}/oauth/callback.

Если redirect URI не совпадает, OAuth-поток завершится ошибкой. Также требуется поддержка параметра state для защиты от CSRF-атак.

Сравнение Session JSON и API-ключа: что и когда использовать

У многих пользователей возникает путаница: зачем нужен Session JSON, если есть API-ключи? Разберём различия.

API-ключ — это статический токен, который создаётся в панели управления OpenAI (platform.openai.com). Он используется для прямых вызовов API (например, для генерации текста через gpt-4o). Ключ привязан к организации и имеет собственные лимиты и тарифы. Его можно отозвать в любой момент.

Session JSON (access token) — это временный токен, который выдаётся браузеру после входа на chatgpt.com. Он предназначен для работы с веб-интерфейсом ChatGPT и не предназначен для прямых API-вызовов. Однако некоторые сторонние сервисы используют его как доказательство владения аккаунтом для выполнения действий от имени пользователя (например, оформление подписки).

Когда что использовать:

• Для разработки и интеграции с OpenAI API — используйте API-ключ.
• Для автоматизации действий в веб-версии ChatGPT (например, массовое создание диалогов) — может потребоваться Session JSON, но это менее стабильный и недокументированный подход.
• Для оплаты подписки через посредника — Session JSON.
• Для создания Custom GPT с внешними Actions — OAuth-токен, полученный в процессе авторизации.

Важно: не пытайтесь использовать Session JSON как API-ключ. Он не будет работать с эндпоинтами вроде https://api.openai.com/v1/chat/completions. Для этого нужен отдельный ключ.

Что делать, если Session JSON не работает: расширенная диагностика

Если вы выполнили все шаги, но сервис всё равно отклоняет ваш Session JSON, попробуйте следующие методы:

1. Проверьте актуальность токена. Откройте https://chatgpt.com/api/auth/session в том же браузере и посмотрите, изменилось ли содержимое. Если вы видите новый accessToken, старый уже недействителен.

1. Используйте другой браузер. Иногда расширения (блокировщики рекламы, менеджеры паролей) могут модифицировать запросы. Попробуйте Chrome или Edge без расширений.

1. Очистите куки и кеш. Для домена chatgpt.com удалите все сохранённые данные, затем войдите заново.

1. Проверьте, не заблокирован ли аккаунт. Если вы недавно меняли пароль или использовали VPN, аккаунт мог быть временно заблокирован. Попробуйте войти на chatgpt.com и убедиться, что всё работает.

1. Свяжитесь с поддержкой сервиса. Если вы уверены, что токен корректен, но сервис его не принимает, возможно, проблема на их стороне. Предоставьте им скриншот ошибки (без самого токена).

1. Попробуйте другой способ аутентификации. Некоторые сервисы поддерживают вход через OAuth или API-ключ. Если Session JSON не подходит, возможно, стоит использовать альтернативный метод.

Помните: если вы получили письмо с просьбой обновить токен, не игнорируйте его. Без нового токена операция не завершится.

Вопросы и ответы