Uwierzytelnianie

Codex uwierzytelnia się logowaniem ChatGPT, które korzysta z limitu Codex w planie ChatGPT i jest wymagane dla Codex cloud, albo kluczem API OpenAI, rozliczanym za tokeny i dobrym do pracy lokalnej oraz w CI. Codex CLI domyślnie zapisuje poświadczenia w ~/.codex/auth.json, a codex login status i codex doctor potwierdzają, która metoda jest aktywna.

Zainstalowałeś Codex, uruchomiłeś codex, a ekran logowania proponuje ChatGPT, kod urządzenia i klucz API. Na laptopie wybór zajmuje sekundę. Na serwerze buildów bez przeglądarki, w kontenerze Dockera albo w jobie GitHub Actions zły wybór wychodzi dopiero później: krok CI pisze „Not logged in”, choć agent działa, albo codex cloud odmawia startu.

Ta strona jest dla dewelopera, który konfiguruje Codex na laptopie, zdalnej maszynie lub runnerze CI, oraz dla tech leada, który chce, żeby każda maszyna w zespole była zalogowana w ten sam, sprawdzalny sposób. Każde polecenie i komunikat poniżej sprawdziliśmy na Codex CLI 0.157.1 w dniu 2026-09-26. Najpierw zainstaluj Codex według przewodnika po instalacji.

Co daje sprawdzone logowanie w Codex

• Decyzję: logowanie ChatGPT czy klucz API, podjętą na podstawie rozliczeń i funkcji, które każda metoda odblokowuje.
• Poświadczenia przechowywane tam, gdzie wymaga tego twoja polityka bezpieczeństwa: w pliku, w systemowym keyringu albo tylko w pamięci.
• Działające logowanie na maszynach bez przeglądarki: w sesjach SSH, kontenerach i runnerach CI.
• Sprawdzenie dwoma poleceniami, które pokazuje, jaka metoda jest aktywna, więc nikt nie musi zgadywać.
• Regułę dla całego zespołu, która przypina metodę logowania i workspace ChatGPT.

Którą metodę logowania w Codex wybrać?

Wybieraj według tego, kto płaci i jakich funkcji potrzebujesz. Ekran logowania w wersji 0.157.1 proponuje Sign in with ChatGPT, Sign in with Device Code, Provide your own API key oraz Amazon Bedrock dla organizacji, które kierują Codex przez AWS.

Sytuacja	Użyj	Dlaczego
Masz plan ChatGPT Plus, Pro, Business, Edu lub Enterprise	Logowanie ChatGPT	Użycie Codex idzie z limitu planu, a zadania w chmurze, /usage i zdalne sterowanie działają
Maszyna bez przeglądarki, a chcesz korzystać z planu ChatGPT	Kod urządzenia	To samo konto co przy logowaniu ChatGPT; logowanie kończysz na dowolnym innym urządzeniu
Job CI lub skrypt wywołujący codex exec	Klucz API w CODEX_API_KEY	Rozliczenie za użycie na koncie OpenAI Platform, bez osobistej sesji na współdzielonym runnerze
Chcesz oddzielić koszty Codex od planu ChatGPT	Klucz API	Jeden rachunek na organizację API i jej polityki
Firma korzysta z modeli przez AWS	Amazon Bedrock	Zobacz przewodnik po zarządzaniu w firmie

Cennik OpenAI (odczyt 2026-10-12) wymienia też plany Free i Go, dla których podaje tylko „GPT-6 Luna at Standard speed in the desktop app, subject to rollout”; tabela planów na stronie kredyty, limity użycia i optymalizacja kosztów Codeksa wymienia każdy plan i to, co obejmuje. Dla klucza API strona pisze „No cloud-based features”. Od 0.161.0 (2026-10-07) wykrywanie modeli dla kluczy API jest domyślnie włączone (api_key_model_discovery jest stabilne i włączone w 0.162.1), więc pipeline logujący się kluczem API może zachowywać się inaczej niż starsza przypięta wersja; po aktualizacji uruchom jego test dymny ponownie.

Klucz API nie odblokowuje wszystkiego. W Codex CLI 0.157.1 te funkcje odrzucają uwierzytelnianie kluczem i wymagają logowania ChatGPT:

• codex cloud („Not signed in. Please run ‘codex login’ to sign in with ChatGPT”).
• Zdalne sterowanie („remote control requires ChatGPT authentication; API key auth is not supported”).
• Zdalny katalog pluginów i pluginy udostępnione.
• /usage i odczyty limitów w interfejsie terminalowym.

Dostępny model zależy od planu lub organizacji API, a nie od ekranu logowania. Hub modeli pokazuje, na czym Codex działa domyślnie i ile kosztuje każdy model.

Zaloguj się do Codex i udowodnij, że działa

Logowanie ChatGPT

Uruchom w terminalu na maszynie z przeglądarką:

codex login

Codex uruchamia lokalny serwer callbacku na 127.0.0.1:1455, otwiera przeglądarkę i po zalogowaniu zapisuje zwrócone tokeny. Uruchomienie codex bez poświadczeń pokazuje ten sam wybór w interfejsie terminalowym.

Klucz API

Przekaż klucz ze zmiennej środowiskowej przez potok, żeby nie trafił do historii powłoki ani do linii poleceń:

printenv OPENAI_API_KEY | codex login --with-api-key

Utwórz klucz na koncie OpenAI Platform i trzymaj go w menedżerze haseł lub magazynie sekretów. Codex zapisuje klucz we własnym magazynie poświadczeń, więc zmienna środowiskowa jest potrzebna tylko raz.

Aplikacja desktopowa i rozszerzenie IDE mają logowanie na własnych ekranach. CLI i rozszerzenie IDE czytają poświadczenia z tego samego katalogu CODEX_HOME (domyślnie ~/.codex), więc jedno logowanie obsługuje oba, dopóki CODEX_HOME jest ten sam.

Teraz sprawdź wynik, zamiast go zakładać:

1. Zapytaj Codex, jaką metodę ma zapisaną. Kod wyjścia to 0 po zalogowaniu i 1 bez logowania, więc skrypty mogą na nim polegać:

   codex login status

   Oczekuj Logged in using ChatGPT albo Logged in using an API key - z kluczem zamaskowanym w środku. Komunikat trafia na stderr, więc przy przechwytywaniu dodaj 2>&1.

2. Uruchom diagnostykę. Wiersz auth podaje źródło poświadczeń, także klucze ze zmiennych środowiskowych, których codex login status nie widzi:

   codex doctor --summary

3. Do zgłoszenia onboardingowego lub sprawy w supporcie zapisz raport z zamaskowanymi sekretami i go dołącz:

   codex doctor --json > codex-doctor.json

4. Jeśli wybrałeś logowanie ChatGPT i potrzebujesz zadań w chmurze, potwierdź je z terminala. codex cloud list wypisuje zadania w chmurze bez otwierania TUI, a lista zadań, nawet pusta, dowodzi, że chmura akceptuje twoje konto:

   codex cloud list

Tech lead zatwierdza plik codex doctor --json, a nie zrzut ekranu z logowania: zawiera wiersz auth i wersję, a raport maskuje sekrety.

Prompt do skopiowania: audyt higieny poświadczeń Codex w repozytorium

Do not modify any files and do not print any secret values.
1. Search this repository, including CI workflow files, Dockerfiles,
   scripts, and .env* files, for OpenAI or Codex credentials: strings
   starting with "sk-", and assignments to OPENAI_API_KEY or CODEX_API_KEY
   that use a literal value instead of a secret reference.
2. Check that .gitignore ignores .env files and any auth.json.
3. List every place a CI job passes a key to Codex and say whether it
   comes from the platform's secret store.
Output a table: file, line, finding, risk (high/medium/low), fix.
Mask any value you find to its first 4 characters.

Gdzie Codex przechowuje poświadczenia?

Decyduje klucz cli_auth_credentials_store w ~/.codex/config.toml. Domyślna wartość to file.

~/.codex/config.toml

cli_auth_credentials_store = "auto"

Wartość	Gdzie trafiają poświadczenia	Kiedy jej użyć
file (domyślnie)	$CODEX_HOME/auth.json	Poświadczenie ma przetrwać restart na maszynie bez keyringu
keyring	macOS Keychain, Windows Credential Manager lub Linux Secret Service	Laptop ma odblokowany keyring i nie chcesz pliku z tokenami na dysku. Codex zgłasza błąd, gdy keyring jest niedostępny
auto	Keyring, jeśli jest dostępny, w przeciwnym razie auth.json	Większość laptopów: keyring tam, gdzie działa, plik tam, gdzie nie
ephemeral	Pamięć, tylko dla bieżącego procesu	Maszyny współdzielone lub krótkotrwałe, na których nic nie może trafić na dysk

Uwaga

auth.json zawiera aktywne tokeny albo twój klucz API. Nigdy go nie commituj, nie wklejaj do zgłoszeń i nie wbudowuj w obraz kontenera. Nigdy nie wpisuj surowego klucza do config.toml.

Zaloguj się do Codex przez SSH, w kontenerze lub na serwerze bez interfejsu graficznego

Logowanie w przeglądarce wymaga, żeby przeglądarka dotarła do serwera callbacku Codex na localhost:1455. Na zdalnej maszynie to niemożliwe, więc użyj jednej z tych metod.

Kod urządzenia (pierwszy wybór)

Uruchom na zdalnej maszynie:

codex login --device-auth

Codex wypisuje URL i jednorazowy kod. Otwórz URL na dowolnym urządzeniu, zaloguj się i wpisz kod. Kod wygasa po 15 minutach. Jeśli Codex zgłasza, że logowanie kodem urządzenia nie jest włączone, użyj przekierowania portów SSH.

Przekierowanie portów SSH

Przekieruj port callbacku, a potem zaloguj się w tej sesji:

# On your laptop
ssh -L 1455:localhost:1455 -L 1457:localhost:1457 user@remote

# In that SSH session, on the remote machine
codex login

Otwórz wypisany URL w przeglądarce na laptopie. Port 1457 to zapasowy port, którego Codex używa, gdy 1455 jest zajęty, więc przekierowanie obu obsługuje także ten przypadek.

Kopia poświadczeń (ostateczność)

Zaloguj się na laptopie, a potem skopiuj plik szyfrowanym kanałem:

ssh user@remote 'mkdir -p ~/.codex && chmod 700 ~/.codex'
scp ~/.codex/auth.json user@remote:~/.codex/auth.json
ssh user@remote 'chmod 600 ~/.codex/auth.json && codex login status'

To działa tylko z magazynem file, a zdalna maszyna trzyma od teraz twoją osobistą sesję. Rób tak wyłącznie na maszynach, do których dostęp masz tylko ty, i po skończonej pracy uruchom tam codex logout.

Uwierzytelnij Codex w CI bez osobistej sesji

Runner CI nigdy nie powinien trzymać sesji ChatGPT dewelopera. Przekaż codex exec klucz API przez zmienną środowiskową CODEX_API_KEY, pobraną z magazynu sekretów platformy CI, i nie zapisuj niczego na dysku. Przewodnik po CI/CD z Codex omawia akcję GitHub openai/codex-action; poniżej jest wzorzec na poziomie powłoki, na którym ona bazuje.

.github/workflows/codex-check.yml

name: codex-check
on: pull_request
permissions:
  contents: read
jobs:
  codex:
    # Skip pull requests from forks: they get no secrets
    if: github.event.pull_request.head.repo.full_name == github.repository
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v7
        with:
          fetch-depth: 0
          persist-credentials: false
      - run: npm install -g @openai/codex@0.157.1
      - name: Check Codex sees a credential
        env:
          CODEX_API_KEY: ${{ secrets.CODEX_API_KEY }}
        run: |
          codex doctor --summary --no-color > doctor.txt || true
          grep -E '✓ auth' doctor.txt
      - name: Read-only review
        env:
          CODEX_API_KEY: ${{ secrets.CODEX_API_KEY }}
        run: |
          codex -c cli_auth_credentials_store=ephemeral \
            -c default_permissions=":read-only" \
            exec --ephemeral \
            "Summarize the risk in this pull request's diff against origin/main. Do not modify files."

on: pull_request nie przekazuje sekretów repozytorium do pull requestów z forków i właśnie o to chodzi: kod z forka nigdy nie działa obok twojego klucza. Linia if: pomija pull requesty z forków w całości, więc job działa tylko dla gałęzi wypchniętych przez osoby, które już mają prawo zapisu. Nie zmieniaj wyzwalacza na pull_request_target, żeby dać forkom sekrety. Job ufa gałęziom osób z prawem zapisu; taka gałąź nadal może zmienić projektową konfigurację .codex/ i AGENTS.md, więc krok agenta zostaw w trybie tylko do odczytu i wymagaj review przed scaleniem zmian w workflow lub w .codex/. --ephemeral trzyma sesję poza dyskiem runnera, a cli_auth_credentials_store=ephemeral trzyma poświadczenia tylko w pamięci. Krok z doctor ignoruje kod wyjścia, bo inne wiersze, na przykład osiągalność sieci, mogą na runnerze nie przejść, choć uwierzytelnianie działa. Klucz przekazany w ten sposób sprawdzaj przez codex doctor, a nie codex login status: codex login status zgłasza Not logged in dla kluczy ze zmiennych środowiskowych, a wiersz auth w doctor pokazuje auth is provided by environment. Wiersz auth potwierdza tylko, że klucz jest ustawiony, a nie że OpenAI go akceptuje; na unieważnionym lub błędnie wpisanym kluczu zawodzi dopiero krok exec. Krok agenta wybiera wbudowany profil uprawnień :read-only (beta), który OpenAI zaleca zamiast starszej flagi --sandbox; nie dodawaj obok niego --sandbox, bo oba systemy się nie łączą. Zobacz konfigurację Codex.

Prompt do skopiowania: dodaj bezpieczny job CI z Codex do repozytorium

Add a GitHub Actions workflow at .github/workflows/codex-check.yml that
runs Codex in read-only mode on pull_request events. Requirements:
- top-level permissions: contents: read, and nothing else
- actions/checkout with persist-credentials: false
- the API key comes only from secrets.CODEX_API_KEY via the
  CODEX_API_KEY environment variable; never echo it
- a step that saves `codex doctor --summary` output (ignore its exit
  code) and fails unless the auth row shows a check mark
- `codex exec --ephemeral` with `-c default_permissions=":read-only"`
  (a permission profile, not --sandbox) for the agent step
- skip pull requests from forks with an if: condition on the job
- do not use pull_request_target
Then show me the diff and list each requirement with the line that
satisfies it.

Lista wymagań na końcu to twoje kryterium akceptacji: każde wymaganie wskazuje linię, więc sprawdzasz siedem linii, a nie cały plik.

Wymuś jedną metodę logowania w całym zespole

Dla jednej maszyny lub wspólnej konfiguracji bazowej przypnij metodę i workspace w config.toml:

# ~/.codex/config.toml, or a config your team distributes
forced_login_method = "chatgpt"          # or "api"
forced_chatgpt_workspace_id = "00000000-0000-0000-0000-000000000000"

Jeśli zapisane poświadczenie nie pasuje, Codex wylogowuje użytkownika i podaje powód, na przykład „ChatGPT login is required, but an API key is currently being used. Logging out.”. Użytkownik może edytować własny config.toml, więc reguły dla całej organizacji administratorzy ustawiają przez allowed_login_methods i allowed_chatgpt_workspaces w zarządzanym pliku requirements.toml. Konfigurację zarządzaną opisuje przewodnik po zarządzaniu w firmie.

Prompt do skopiowania: zespołowy test logowania do Codex na onboarding

Create scripts/check-codex-auth.sh for our onboarding checklist.
It must: print `codex --version`; run `codex login status 2>&1` and fail
with a clear message unless it exits 0 and the output starts with
"Logged in using ChatGPT"; read ~/.codex/config.toml without printing
secrets and warn if forced_login_method is not "chatgpt"; warn if
~/.codex/auth.json exists and is readable by group or others; and
finish with `codex doctor --summary`. Use POSIX sh, no dependencies.
Do not read or print the contents of auth.json. Run the script once
and show me its output.

Gdy logowanie do Codex nie działa

Przeglądarka nie wraca do terminala (WSL, SSH, kontenery). Przeglądarka nie dociera do localhost:1455 na maszynie z Codex. Przerwij i użyj codex login --device-auth albo opisanego wyżej przekierowania SSH.

„Port … is already in use”. Oba porty callbacku, 1455 i zapasowy 1457, są zajęte, zwykle przez stare procesy codex login. Codex próbował już anulować poprzednie logowanie. Zamknij terminale z trwającym logowaniem (albo zakończ proces trzymający port) i uruchom codex login ponownie.

„device code login is not enabled for this Codex server”. Logowanie kodem urządzenia jest wyłączone dla tego konta lub serwera. Użyj przekierowania portów SSH albo zapytaj administratora workspace’u, czy to ustawienie jest dla ciebie dostępne.

„device auth timed out after 15 minutes”. Uruchom ponownie codex login --device-auth i wpisz nowy kod od razu.

„Your access token could not be refreshed”. Sesja wygasła albo zalogowałeś się gdzie indziej na inne konto. Uruchom codex logout, a potem codex login.

Codex wylogowuje cię przy starcie komunikatem „ChatGPT login is required, but an API key is currently being used”. Reguła forced_login_method nie pasuje do twoich poświadczeń. Zaloguj się metodą, której wymaga reguła. Zmieniaj regułę tylko wtedy, gdy jest twoja.

„API key login is disabled by this workspace”. Administrator dopuszcza tylko logowanie ChatGPT. Uruchom codex login i wybierz ChatGPT.

Magazyn keyring nie działa na linuksowym serwerze bez interfejsu graficznego. Nie działa tam Secret Service, a keyring zgłasza błąd zamiast przejść na plik. Ustaw cli_auth_credentials_store = "auto" albo "ephemeral" na maszynach współdzielonych.

W jednym terminalu zalogowany, w drugim „Not logged in”. Obie powłoki mają różne CODEX_HOME. Uruchom echo "$CODEX_HOME" w obu i ustaw tę samą wartość albo usuń zmienną, żeby używać ~/.codex.

codex login status nie przechodzi w CI, choć job działa. Klucz pochodzi z CODEX_API_KEY, którego login status nie raportuje. Sprawdzaj przez codex doctor --summary, jak w przykładzie CI.

codex cloud pisze „Not signed in”, choć praca lokalna działa. Używasz klucza API. Zadania w chmurze wymagają logowania ChatGPT: uruchom codex login i wybierz ChatGPT.

Błędy po zalogowaniu, takie jak limity czy odmowy sandboksa, opisuje odzyskiwanie po błędach w Codex.

Co dalej po zalogowaniu do Codex

Skonfiguruj Codex Ustaw model, politykę zatwierdzeń, profile uprawnień i profile w config.toml.

Pierwsze zadanie w Codex Daj Codex zadanie o jasnym zakresie i sprawdź wynik testami, a nie czytaniem każdej linii.

Codex w trybie nieinteraktywnym Skryptuj codex exec w zadaniach wsadowych i potokach.

Uwierzytelnianie w Claude Code Zaloguj się do Claude Code subskrypcją lub kluczem API i przygotuj poświadczenia dla CI.

Środowiska chmurowe Codex Przygotuj środowiska, w których działają zadania w chmurze, gdy logowanie ChatGPT już działa.