Авторизация в Codex - это не только вопрос "как войти", но и вопрос о том, чей это биллинг, какая политика и что вообще доступно. Для OpenAI-моделей локальные клиенты поддерживают два основных пути: вход через ChatGPT и API-ключ. Codex cloud требует именно ChatGPT sign-in. Метод входа определяет не только оплату, но и workspace policy, retention и доступность облачных и connector-функций - поэтому его выбирают осознанно, а не по первому попавшемуся приглашению.

Разница между входом через ChatGPT и API-ключом принципиальна. ChatGPT sign-in привязывает работу к вашему плану и контролю workspace, включает облачные возможности и подчиняется политике аккаунта. API-ключ - это usage-based биллинг, удобный для локальных клиентов, CI и программной интеграции, но не дающий cloud-часть. Смешать их в одной среде легко, а последствия неочевидны: запрос может пойти по не тому маршруту и на не тот счёт, поэтому реальный источник всегда проверяют.

Проверяют вход не по памяти, а командой. codex login status показывает текущее состояние авторизации, codex logout сбрасывает его. Важная деталь: CLI и IDE-расширение используют общий кэшированный вход, поэтому логин в одном месте виден в другом. Это удобно, но и требует внимания: выйдя в одном клиенте, вы влияете на оба, а неожиданная смена источника входа - частая причина того, что "вчера работало, а сегодня нет".

Где лежат credentials - вопрос и удобства, и безопасности. Они могут храниться в файле $CODEX_HOME/auth.json или в системном хранилище учётных данных. Настройка cli_auth_credentials_store принудительно задаёт поведение: значение keyring выбирает системное хранилище, а auto использует его при доступности и иначе падает обратно на файл. На общих или CI-машинах системное хранилище предпочтительнее файла, который проще случайно прочитать или утащить вместе с домашним каталогом.

Полезно один раз свести методы входа в таблицу, чтобы выбирать под задачу. Ниже - карта: ChatGPT sign-in для интерактивной локальной работы и cloud, device code для headless и удалённых хостов, API-ключ для локальных клиентов, CI и usage-based биллинга. К этой карте возвращаются при смене окружения: у каждого метода своя область применения, свой биллинг и свои ограничения, и путать их - значит однажды удивиться счёту или недоступной функции.