1. A fiókodhoz tartozó minden csapattag mindig saját, egyedi API-kulcsot használjon.
Az API-kulcs egy egyedi kód, amely azonosítja az API-nak küldött kéréseidet. Az API-kulcsod kizárólag a te használatodra szolgál. Az API-kulcsok megosztása sérti az Általános szerződési feltételeket.
Ahogy elkezdesz kísérletezni az API-val, érdemes lehet a csapatodnak is hozzáférést adni. Az OpenAI nem támogatja az API-kulcsok megosztását. Hívd meg az új tagokat a fiókodba a Tagok oldalról. Bejelentkezés után hamar megkapják a saját, egyedi kulcsukat. Az egyes API-kulcsokhoz jogosultságokat is rendelhetsz.
2. Hozz létre lejárati dátummal rendelkező API-kulcsokat, és alakíts ki kulcscserélési folyamatot
A projektkulcsok létrehozásakor megadhatsz lejárati dátumot, amely után a rendszer minden, az adott kulccsal küldött kérést elutasít. Nyomatékosan javasoljuk, hogy lejárati dátummal hozd létre a kulcsokat, és alakíts ki folyamatot a rendszeres cseréjükre. Mielőtt egy kulcs lejárna, hozz létre helyette újat, állítsd át az alkalmazásaidat az új kulcs használatára, majd vond vissza a régit, miután ellenőrizted, hogy az új működik. Ezekkel a gyakorlatokkal jelentősen mérsékelheted az API-kulcsok kiszivárgásának következményeit.
A rendszergazdák szervezeti vagy projektszinten előírhatják az API-kulcsok maximális érvényességi idejét a platform beállításaiban. Az új kulcsokat a megengedett korlátokon belül kell beállítani, így nem maradhatnak korlátlan ideig érvényesek. A projektszintű korlátok nem haladhatják meg a szervezeti korlátot.
A támogatott számítási feladatokhoz használj számításifeladat-identitások összevonásán alapuló hitelesítést ahelyett, hogy hosszú érvényességi idejű OpenAI API-kulcsot tárolnál. A számítási feladat egy megbízható szolgáltatótól származó identitást vált be egy rövid érvényességi idejű OpenAI-hozzáférési tokenre. Állíts be egy külön szolgáltatásfiókot, és csak a számítási feladathoz szükséges jogosultságokat add meg neki.
3. Soha ne helyezd el a kulcsodat kliensoldali környezetben, például böngészőben vagy mobilalkalmazásban.
Ha az OpenAI API-kulcsodat kliensoldali környezetben, például böngészőben vagy mobilalkalmazásban teszed elérhetővé, rosszindulatú felhasználók megszerezhetik, és kéréseket küldhetnek a nevedben. Ez váratlan díjakhoz vezethet, vagy veszélyeztetheti a fiókod egyes adatainak biztonságát. A kéréseket mindig a saját háttérkiszolgálódon keresztül továbbítsd, ahol biztonságban tarthatod az API-kulcsodat.
4. Soha ne véglegesítse a kulcsát az adattárban
Az API-kulcs forráskódban való véglegesítése gyakran vezet a hitelesítő adatok illetéktelen megszerzéséhez. Nyilvános adattárak esetén így könnyen előfordulhat, hogy tudtán kívül az egész interneten hozzáférhetővé teszi a kulcsát. A privát adattárak biztonságosabbak, de egy adatszivárgás ezekből is felfedheti a kulcsait. Ezért megelőző biztonsági intézkedésként határozottan javasoljuk a környezeti változók használatát.
5. Az API-kulcs közvetlen megadása helyett használj környezeti változókat
Beállítás Windowson
A környezeti változó olyan változó, amelyet nem az alkalmazásban, hanem az operációs rendszerben állítasz be. Egy névből és egy értékből áll. Javasoljuk, hogy a változó neve OPENAI_API_KEY legyen. Ha a csapat minden tagja ugyanazt a változónevet használja, az API-kulcs felfedésének kockázata nélkül menthetitek a kódot a verziókezelőbe és oszthatjátok meg egymással.
1. lehetőség: Az „OPENAI_API_KEY” környezeti változó beállítása a cmd parancssorból
Futtasd a következőt a cmd parancssorban úgy, hogy a <yourkey> helyére az API-kulcsodat írod:
setx OPENAI_API_KEY "<yourkey>"Ez a később megnyitott parancssori ablakokra lesz érvényes, ezért új ablakot kell nyitnia, hogy a változót a curl paranccsal használhassa. A változó beállítását úgy ellenőrizheti, hogy megnyit egy új parancssori ablakot, és beírja a következőt:
echo %OPENAI_API_KEY%2. lehetőség: Az „OPENAI_API_KEY” környezeti változó beállítása a Vezérlőpulton
Nyisd meg a Rendszer tulajdonságait, és válaszd a Speciális rendszerbeállítások lehetőséget.
Válaszd a Környezeti változók... lehetőséget.
A felső, Felhasználói változók szakaszban válaszd az Új… lehetőséget. Add meg a változó nevét és a kulcs értékét úgy, hogy a <yourkey> helyére az API-kulcsodat írod.
Változó neve: OPENAI_API_KEY
Változó értéke: <yourkey>Beállítás Linuxon és macOS-en
1. lehetőség: Az „OPENAI_API_KEY” környezeti változó beállítása zsh használatával
Futtasd a következő parancsot a terminálban úgy, hogy a yourkey helyére az API-kulcsodat írod.
echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrcFrissítse a shellt az új változóval:
source ~/.zshrcErősítse meg a következő paranccsal, hogy beállította a környezeti változót.
echo $OPENAI_API_KEYA kimenet az API-kulcs értéke lesz.
2. lehetőség: Állítsa be az „OPENAI_API_KEY” környezeti változót bash használatával
Kövesse az 1. lehetőség utasításait, és cserélje le a(z) .zshrc értéket erre: .bash_profile.
Minden készen áll! Most már hivatkozhat a kulcsra a curlben, vagy betöltheti a Python-kódjában:
import os
import openai
openai.api_key = os.environ["OPENAI_API_KEY"]6. Használj kulcskezelő szolgáltatást
Számos megoldás érhető el a titkos API-kulcsok biztonságos kezelésére. Ezekkel az eszközökkel szabályozhatod a kulcsaidhoz való hozzáférést, és általában is javíthatod adataid biztonságát. Ha az alkalmazásodból adatok szivárognának ki, a kulcsaid nem kerülnének veszélybe, mivel titkosítva, teljesen külön helyen lennének tárolva és kezelve.
Az alkalmazásaikat éles környezetbe telepítő csapatoknak javasoljuk, hogy fontolják meg egy ilyen szolgáltatás használatát.
7. Kövesd nyomon a fiókod használatát, és szükség esetén cseréld le a kulcsaidat
Állíts be havi költési limiteket a szervezetedhez vagy a projektjeidhez, és kapcsold be a limitek szigorú érvényesítését, hogy korlátozd a kiszivárgott kulcsokból eredő váratlan költségeket. A költési értesítések önmagukban nem állítják le az API-forgalmat. A szigorú érvényesítés jogos kéréseket is blokkolhat, a költés pedig kissé meghaladhatja a limitet, mivel az érvényesítés nem azonnali.
Egy illetéktelen kezekbe került API-kulccsal mások a beleegyezésed nélkül használhatják fel a fiókodhoz tartozó kvótát. Ez adatvesztéshez, váratlan díjakhoz, a havi kvótád kimerüléséhez és az API-hozzáférésed megszakadásához vezethet.
Csapataid API-használatát a Használat oldalon követheted nyomon. Ha visszaélésre gyanakszol, az alábbi lépésekkel védheted meg a fiókodat:
Tekintsd át a használati adatokat, és ellenőrizd, hogy összhangban vannak-e a csapatod munkájával. A több szervezethez (például vállalati és személyes szervezethez) tartozó felhasználóknál ellenőrizd, hogy bekapcsolták-e a használatkövetést, és beállították-e az alapértelmezett szervezetüket a használathoz és annak nyomon követéséhez.
Ha úgy véled, hogy a kulcsod kiszivárgott, azonnal cseréld le az API-kulcsok oldalon. Ha éles környezetben futó alkalmazásaid vannak, azokban is frissítened kell a kulcsok értékét.
További kivizsgáláshoz vedd fel velünk a kapcsolatot a help.openai.com oldalon.
8. Védd az API-hozzáférést hálózati korlátozásokkal
Az IP-engedélyezési listával korlátozhatod, hogy mely IP-címekről lehessen hozzáférni az OpenAI API-hoz. Ha engedélyezed, a rendszer csak a beállított IP-címekről vagy címtartományokból érkező kéréseket fogadja el, minden mást elutasít – még akkor is, ha érvényes API-kulcsot tartalmaznak.
Ez további védelmet nyújt, mivel biztosítja, hogy az API-hoz csak megbízható infrastruktúrából, például a háttérkiszolgálóidról vagy a felhőkörnyezetedből lehessen hozzáférni.
További információért olvasd el az IP-engedélyezési lista az OpenAI API-hoz című cikket.
A Private Link egy másik lehetőség a privát hálózati hozzáférést igénylő szervezetek számára. Lehetővé teszi, hogy az Azure-ban futó alkalmazások az Azure Private Linken keresztül csatlakozzanak az OpenAI API regionális végpontjaihoz. Hozzáférés igényléséhez fordulj az OpenAI-kapcsolattartódhoz vagy az értékesítési csapathoz. Az API-hitelesítés továbbra is szükséges, és a Private Link nem kompatibilis az IP-engedélyezési listával vagy a kölcsönös TLS-hitelesítéssel (mTLS). A beállítás részleteit a Private Link útmutatójában találod.