OpenAI Mutual TLS memungkinkan organisasi mengonfigurasi lapisan keamanan tambahan untuk traffic API OpenAI mereka. Setelah dikonfigurasi, permintaan API harus dibuat ke https://mtls.api.openai.com (atau https://mtls-eu.api.openai.com untuk pelanggan residensi data UE) dan traffic hanya akan diterima jika kunci API serta sertifikat klien yang tepat diberikan. mTLS tidak berlaku untuk Dasbor https://platform.openai.com. Fitur ini saat ini dalam versi beta.
Bagaimana cara menyiapkan integrasi mTLS?
Pada bilah navigasi pengaturan, Anda akan melihat tab “Mutual TLS”.
Unggah Sertifikat
Aktifkan Sertifikat
Setelah mengunggah sertifikat Anda, langkah berikutnya adalah mengaktifkan sertifikat Anda. Setelah sertifikat diaktifkan untuk suatu proyek, semua permintaan API yang menuju proyek tersebut juga akan mulai mewajibkan sertifikat klien yang sesuai. Jika suatu proyek memiliki beberapa sertifikat yang diaktifkan, Anda dapat meneruskan sertifikat klien mana pun yang sesuai. Jika sertifikat diaktifkan untuk organisasi, sertifikat tersebut akan berlaku untuk semua permintaan API dan “diwarisi” oleh semua proyek.
Persyaratan sertifikat CA
Anda dapat mengunggah sertifikat CA X.509 apa pun dalam format PEM yang memenuhi persyaratan berikut:
menandatangani langsung sertifikat klien yang ingin Anda gunakan, atau menjadi jangkar bagi rantai sertifikat valid yang disajikan oleh klien Anda.
memiliki ekstensi Certificate Authority, Subject Key Identifier, dan Authority Key Identifier (dalam format KeyIdentifier)
memiliki izin Key Usage: “Certificate Sign, CRL Sign”
tidak akan kedaluwarsa dalam 1 hari
ukuran total sertifikat harus kurang dari 16 kb.
Persyaratan sertifikat klien
Jika dukungan rantai sertifikat diaktifkan untuk organisasi Anda, klien Anda dapat menyajikan sertifikat klien leaf beserta sertifikat perantara yang diperlukan untuk membangun rantai valid hingga ke sertifikat aktif yang telah diunggah. Jika tidak, sertifikat klien harus ditandatangani langsung oleh sertifikat yang telah Anda unggah sebelumnya. Selain itu, sertifikat klien Anda harus memenuhi persyaratan berikut:
memiliki ekstensi Subject Key Identifier dan Authority Key Identifier (dalam format KeyIdentifier)
memiliki izin Key Usage: “Digital Signature, Key Encipherment”
memiliki izin Extended Key Usage: “TLS Web Client Authentication”
memiliki ekstensi Subject Alternate Name
Dukungan rantai sertifikat untuk mTLS API
Dukungan rantai sertifikat memungkinkan klien Anda menyajikan sertifikat klien leaf beserta sertifikat perantara yang diperlukan untuk membangun rantai valid hingga ke sertifikat aktif yang telah diunggah.
Dengan ini, Anda dapat merotasi sertifikat perantara tanpa mengunggah setiap perantara baru, selama sertifikat aktif yang diunggah dan digunakan sebagai jangkar kepercayaan tetap valid.
Dukungan rantai sertifikat saat ini tersedia berdasarkan permintaan. Hubungi Account Director Anda atau buka tiket dukungan untuk meminta akses.
Klien Anda harus menyajikan semua sertifikat perantara yang diperlukan. OpenAI tidak mengambil sertifikat perantara yang hilang melalui AIA. Pemeriksaan CRL dan OCSP tetap tidak didukung.
FAQ
Dapatkah saya mengonfigurasi mTLS melalui API?
Ya — Anda dapat melihat Referensi API di https://platform.openai.com/docs/api-reference/ untuk informasi selengkapnya.
Endpoint apa yang mendukung mTLS?
Selama periode beta ini, mTLS secara resmi didukung di
/v1/chat/completions (with all supported extensions e.g. image, audio, streaming, etc.)/v1/completions/v1/embeddings/v1/audio/transcriptions/v1/audio/speech/v1/files/v1/batches/v1/responses/v1/images/v1/moderations/v1/realtime (via server-side web sockets)/v1/fine_tuning/v1/tunnels
Bagaimana cara mengirim sertifikat klien bersama permintaan saya?
Untuk permintaan cURL, Anda dapat menggunakan opsi --cert dan --key (lihat halaman manualnya di sini). Pada sebagian besar klien HTTP lainnya, sertifikat klien juga dapat diteruskan. Contoh: requests di Python, fetch di JS. Melalui SDK resmi kami, kami juga mendukung penimpaan klien HTTP — lihat contoh Python di sini.
Saat dukungan rantai sertifikat diaktifkan, konfigurasikan klien HTTP Anda agar menyajikan sertifikat klien leaf dan semua sertifikat perantara yang diperlukan. Konfigurasi pastinya bergantung pada klien HTTP Anda.
Sebelum menerapkan mTLS untuk trafik produksi, pastikan klien HTTP yang Anda gunakan berperilaku baik dengan permintaan sertifikat klien (sebagian, seperti WebSockets di browser tertentu, tidak demikian). Perhatikan bahwa server kami tidak menyediakan daftar certificate_authorities dalam permintaan sertifikat klien.
Siapa yang dapat mengakses dan mengubah sertifikat?
Melalui UI Dasbor https://platform.openai.com/settings/organization/mtls, pemilik organisasi dapat mengakses dan mengubah sertifikat. Siapa pun yang memiliki Kunci API Admin (https://platform.openai.com/settings/organization/admin-keys) juga dapat mengakses/mengubah sertifikat, tetapi harap berhati-hati — jika Anda mengaktifkan Mutual TLS di tingkat organisasi, Anda juga akan menerapkan sertifikat pada permintaan API ini. Semua perubahan mTLS terlihat di log audit.
Berapa banyak sertifikat yang dapat saya miliki?
Setiap organisasi dapat mengunggah hingga 50 sertifikat, yang dapat dibagikan antarproyek tetapi tidak dengan organisasi lain. Anda dapat mengaktifkan/menonaktifkan sertifikat secara atomik untuk 10 proyek sekaligus. Atau, Anda dapat mengaktifkan/menonaktifkan 10 sertifikat sekaligus untuk organisasi Anda atau untuk 1 proyek tertentu.
Dapatkah saya memperbarui atau menghapus sertifikat?
Anda dapat memperbarui nama sertifikat Anda, tetapi bukan kontennya. Anda juga dapat menghapus sertifikat jika saat ini tidak aktif pada cakupan apa pun.
Bagaimana cara kerja pencabutan sertifikat?
Saat ini, kami tidak mendukung pemeriksaan CRL atau OCSP. Alternatif yang disarankan adalah menghapus atau merotasi kunci API Anda. Anda juga dapat mengganti sertifikat CA Anda atau menggunakan sertifikat klien dengan masa berlaku yang lebih pendek.
Bisakah saya menggunakan rantai sertifikat yang lebih panjang?
Ya, jika dukungan rantai sertifikat diaktifkan untuk organisasi Anda. Klien Anda harus menyajikan sertifikat klien leaf dan sertifikat perantara yang diperlukan agar OpenAI dapat memverifikasi rantai tersebut hingga ke sertifikat aktif yang telah diunggah. Hubungi Account Director Anda atau buka tiket dukungan untuk meminta akses.
Apa konfigurasi yang direkomendasikan?
Saat menyiapkan fitur ini untuk pertama kalinya, kami menyarankan untuk memulai dengan proyek staging yang tidak melayani traffic produksi resmi. Gunakan kesempatan ini untuk memastikan sertifikat Anda telah disiapkan dengan benar di mesin Anda dan Anda dapat mengirim traffic API dengan berhasil. Selain itu, kami menyarankan untuk berkonsultasi dengan tim keamanan organisasi Anda agar dapat memahami kebutuhan Anda sebaik mungkin.
Dukungan Tambahan
Anda dapat mengelola sendiri fitur mTLS sepenuhnya melalui dasbor dan API. Namun, jika Anda ingin mengaktifkan mTLS dalam mode bayangan terlebih dahulu, harap hubungi Direktur Akun Anda atau buka tiket dukungan dengan memulai chat baru di sudut kanan bawah halaman ini.
Lampiran: Terminologi
Sertifikat CA: Salah satu sertifikat tepercaya Anda yang digunakan untuk memverifikasi sertifikat klien. Sertifikat ini dapat menandatangani langsung sertifikat klien yang Anda kirim bersama permintaan atau menjadi jangkar bagi rantai sertifikat yang disajikan oleh klien Anda. Anda dapat menggunakan sertifikat CA yang ditandatangani sendiri.
Unggah sertifikat: menambahkan sertifikat CA ke akun Anda. Sertifikat ini belum diberlakukan di mana pun untuk mTLS, tetapi Anda dapat mulai mengonfigurasinya.
Cakupan: proyek tertentu atau seluruh organisasi Anda.
Aktifkan sertifikat CA pada suatu cakupan: mengaktifkan mTLS khusus untuk cakupan tersebut, dan semua permintaan berbasis kunci API harus menyertakan sertifikat klien yang dapat diverifikasi terhadap sertifikat CA aktif.
Nonaktifkan sertifikat CA pada suatu cakupan: menonaktifkan penggunaan sertifikat ini untuk memverifikasi permintaan pada cakupan tersebut. Jika tidak ada sertifikat tersisa untuk cakupan tersebut, mTLS secara efektif dinonaktifkan.
Mewarisi sertifikat: Jika Anda mengaktifkan sertifikat untuk organisasi Anda, sertifikat tersebut juga akan diaktifkan untuk semua proyek.