Overzicht

Wanneer je OpenAI-services gebruikt, is het belangrijk om zowel je API-sleutel als je account veilig te houden. Bescherm je tegen lekken van API-sleutels en accountovernames met deze best practices.

Houd je account veilig

Beveiliging is een gedeelde verantwoordelijkheid. OpenAI werkt eraan om accounttoegang te beschermen, en deze stappen kunnen helpen het risico op ongeautoriseerd gebruik te verkleinen. Als accountgegevens zonder toestemming worden gebruikt, meld het probleem dan zo snel mogelijk.

Voorkom lekken van API-sleutels

Een API-sleutel is de toegangscode die wordt gebruikt om de OpenAI API aan te roepen. Als deze uitlekt, kunnen ongeautoriseerde gebruikers via je account toegang krijgen tot de API. Dit kan leiden tot ongeautoriseerde kosten of activiteit die in strijd is met onze servicevoorwaarden.

Gebruik omgevingsvariabelen

Sla je API-sleutel op in omgevingsvariabelen binnen je ontwikkelomgeving. Dit helpt de sleutel buiten de applicatiecode te houden en verkleint het risico op blootstelling.

Als je GitHub Actions gebruikt, gebruik dan GitHub secrets om je API-sleutel op te slaan.

Wees voorzichtig met producten van derden

Wees voorzichtig met bibliotheken, frameworks en tools van derden die om toegang tot je API-sleutel vragen. Zelfs als een product betrouwbaar lijkt, bestaat er nog steeds een risico op blootstelling of misbruik van sleutels.

Beoordeel het bedrijf en het product zorgvuldig voordat je een product van derden gebruikt waarvoor je API-sleutel nodig is. Controleer beoordelingen, lees het privacybeleid en let op beveiligingszorgen die door de community zijn gemeld.

Stel redelijke uitgavenlimieten in

Stel meerdere uitgavendrempels in, zoals 90% en 95%, ten opzichte van een maandbudget op organisatie- of projectniveau om maandelijkse uitgaven te bewaken.

Configureer aangepaste e-mailontvangers voor integratie met mailinglijsten, platforms voor incidentbeheer en berichtenplatforms. Dit kan worden geconfigureerd in de Platform-instellingen.

Lever je API-sleutel niet mee

Het kan verleidelijk zijn om je API-sleutel rechtstreeks in een applicatie in te bouwen, zodat je geen server hoeft te draaien voor een mobiele app of een vergelijkbare toepassing. Dit maakt de API-sleutel echter kwetsbaar voor misbruik.

Voer grondige codereviews uit

Controleer code voordat je deze naar openbare repositories pusht, om er zeker van te zijn dat er geen gevoelige informatie, zoals API-sleutels, wordt blootgesteld.

Gebruik geautomatiseerde scantools die potentiële lekken kunnen signaleren. Je kunt ook de tutorial van GitHub over secret scanning bekijken voor meer begeleiding.

Wanneer OpenAI een API-sleutel op het openbare internet detecteert, of een lek binnen een app in een appstore, wordt de API-sleutel onmiddellijk uitgeschakeld.

Implementeer sleutelrotatie

Wijzig je API-sleutels regelmatig door oude sleutels te verwijderen en nieuwe te maken via het dashboard voor API-sleutels.

Voorkom accountovernames

Een accountovername vindt plaats wanneer iemand ongeautoriseerde toegang tot je account krijgt, mogelijk OpenAI-services via dat account gebruikt en de rekening bij de accounteigenaar achterlaat.

Gebruik sterke, unieke aanmeldgegevens

Als je een wachtwoord gebruikt, gebruik dan een uniek wachtwoord dat je niet op andere sites hergebruikt. We raden aan een wachtwoordmanager te gebruiken om wachtwoorden te genereren en op te slaan.

Wijzig je wachtwoord meteen als je denkt dat het is blootgesteld, hergebruikt of gedeeld.

Schakel meervoudige verificatie (MFA) in

Schakel meervoudige verificatie (MFA) in om tijdens het aanmelden een extra verificatiestap toe te voegen. Zie voor meer informatie: Meervoudige verificatie (MFA) in- of uitschakelen.

Zelfs als iemand je wachtwoord krijgt, heeft diegene nog steeds de tweede factor nodig om toegang te krijgen tot je account.

Het inschakelen van MFA beëindigt bestaande aanmeldingen niet. Als je gebruikers wilt blokkeren die al toegang hebben tot je account, reset dan eerst je wachtwoord en schakel daarna MFA in.

Als je hardwarematige accountbescherming wilt en nog geen beveiligingssleutel hebt, kunnen in aanmerking komende OpenAI-gebruikers meer lezen over de OpenAI + Yubico YubiKey-bundel. Zie voor meer informatie: OpenAI + Yubico YubiKey-bundel.

Gebruik Geavanceerde accountbeveiliging

Voor in aanmerking komende consumentenaccounts van ChatGPT voegt Geavanceerde accountbeveiliging strengere aanmeldingsvereisten en sterkere accountbeveiligingen toe. Zie voor meer informatie: Geavanceerde accountbeveiliging. Dit is niet beschikbaar voor ChatGPT Enterprise-gebruikers, door ondernemingen beheerde accounts of accounts die zijn gekoppeld aan een door een onderneming beheerd domein.

Wees voorzichtig met e-mails en links

Wees voorzichtig met e-mails die om aanmeldgegevens vragen of gebruikers naar webpagina's sturen waarvoor accountgegevens nodig zijn.

Controleer altijd het e-mailadres en de URL dubbel om er zeker van te zijn dat ze afkomstig zijn van een vertrouwde bron.

Reageer op een vermoedelijke inbreuk

Als je denkt dat je API-sleutel is gecompromitteerd, of als je ongeautoriseerde activiteit op je account vermoedt, handel dan snel.

Verwijder je API-sleutels

Verwijder je API-sleutels via het dashboard voor API-sleutels.

OpenAI ondersteunt ook het bijhouden van gebruik per API-sleutel. Dit maakt het makkelijker om gebruik per functie, team, product of project te bekijken door voor elk daarvan afzonderlijke API-sleutels te gebruiken.

Neem contact op met OpenAI Support

Hoe eerder je het probleem meldt, hoe eerder OpenAI kan helpen het op te lossen en mogelijke schade te beperken. Neem contact op met OpenAI Support door een nieuwe chat te openen op een willekeurige helpcentrum-pagina.

Controleer accountactiviteit

Controleer het account op onbekende activiteit, zoals onverwacht API-gebruik. De gegevens die je verstrekt, kunnen helpen bij accountherstel.

Uitloggen bij alle sessies

Je kunt uitloggen bij alle actieve sessies op verschillende apparaten. Zie voor instructies: Uitloggen bij alle sessies.

In ChatGPT:

1. Ga naar Instellingen.

2. Selecteer Beveiliging.

3. Selecteer Actieve sessies.

4. Zoek Uitloggen bij alle sessies.

5. Selecteer Alles uitloggen.

6. Selecteer in het bevestigingsvenster Uitloggen op alle apparaten.

Hiermee word je uitgelogd bij alle actieve sessies op verschillende apparaten, inclusief je huidige sessie. Dit kan tot 30 minuten duren.

Ga op Platform naar Je profiel > Beveiliging en selecteer Uitloggen op alle apparaten.

Het kan tot 30 minuten duren voordat andere ChatGPT-sessies zijn uitgelogd.