Descripción general

Al usar los servicios de OpenAI, es importante mantener seguros tanto tu clave de API como tu cuenta. Protégete frente a filtraciones de claves de API y secuestros de cuentas con estas prácticas recomendadas.

Mantener tu cuenta segura

La seguridad es una responsabilidad compartida. OpenAI trabaja para proteger el acceso a las cuentas, y estos pasos pueden ayudar a reducir el riesgo de uso no autorizado. Si se usan credenciales de cuenta sin permiso, informa del problema lo antes posible.

Prevenir filtraciones de claves de API

Una clave de API es el código de acceso que se usa para llamar a la API de OpenAI. Si se filtra, usuarios no autorizados podrían acceder a la API a través de tu cuenta. Esto puede dar lugar a cargos no autorizados o a actividad que infrinja nuestras condiciones de servicio.

Usar variables de entorno

Almacena tu clave de API en variables de entorno dentro de tu entorno de desarrollo. Esto ayuda a mantener la clave fuera del código de la aplicación y reduce el riesgo de exposición.

Si usas GitHub Actions, utiliza secretos de GitHub para almacenar tu clave de API.

Tener cuidado con los productos de terceros

Ten cuidado con las bibliotecas, los frameworks y las herramientas de terceros que soliciten acceso a tu clave de API. Aunque un producto parezca fiable, sigue existiendo el riesgo de exposición o uso indebido de la clave.

Antes de usar un producto de terceros que requiera tu clave de API, revisa detenidamente la empresa y el producto. Consulta reseñas, lee la Política de privacidad y busca cualquier inquietud de seguridad planteada por la comunidad.

Establecer límites de gasto razonables

Establece varios umbrales de gasto, como el 90 % y el 95 %, respecto a un presupuesto mensual a nivel de organización o de proyecto para supervisar el gasto mensual.

Configura destinatarios de correo electrónico personalizados para integrarlos con listas de distribución, plataformas de gestión de incidentes y plataformas de mensajería. Esto se puede configurar en la configuración de Platform.

No distribuyas tu clave de API

Puede resultar tentador insertar tu clave de API directamente en una aplicación para evitar ejecutar un servidor para una aplicación móvil o un caso de uso similar. Sin embargo, esto hace que la clave de API sea vulnerable al uso indebido.

Realizar revisiones de código exhaustivas

Antes de subir código a repositorios públicos, revísalo para asegurarte de que no se exponga información confidencial, como claves de API.

Usa herramientas de análisis automatizado que puedan señalar posibles filtraciones. También puedes revisar el tutorial de GitHub sobre el análisis de secretos para obtener más orientación.

Cuando OpenAI detecta una clave de API en internet público o filtrada dentro de una aplicación en una tienda de aplicaciones, la clave de API se desactiva de inmediato.

Implementar la rotación de claves

Cambia periódicamente tus claves de API eliminando las antiguas y creando otras nuevas desde el panel de claves de API.

Prevenir secuestros de cuentas

Un secuestro de cuenta ocurre cuando alguien obtiene acceso no autorizado a tu cuenta, puede usar los servicios de OpenAI a través de ella y deja la factura al propietario de la cuenta.

Usar credenciales de inicio de sesión seguras y únicas

Si usas una contraseña, utiliza una contraseña única que no reutilices en otros sitios. Recomendamos usar un gestor de contraseñas para generar y almacenar contraseñas.

Cambia tu contraseña de inmediato si crees que se ha expuesto, reutilizado o compartido.

Activar la autenticación multifactor (MFA)

Activa la autenticación multifactor (MFA) para añadir otro paso de verificación durante el inicio de sesión. Para obtener más información, consulta: activar o desactivar la autenticación multifactor (MFA).

Aunque alguien obtenga tu contraseña, seguirá necesitando el segundo factor para acceder a tu cuenta.

Activar la MFA no cancela los inicios de sesión existentes. Para bloquear a cualquier usuario que ya esté accediendo a tu cuenta, restablece primero tu contraseña y luego activa la MFA.

Si quieres protección de cuenta respaldada por hardware y aún no tienes una llave de seguridad, los usuarios de OpenAI que cumplan los requisitos pueden informarse sobre el paquete OpenAI + Yubico YubiKey. Para obtener más información, consulta: paquete OpenAI + Yubico YubiKey.

Usar Seguridad avanzada de la cuenta

Para las cuentas de ChatGPT de consumidores que cumplan los requisitos, Seguridad avanzada de la cuenta añade requisitos de inicio de sesión más estrictos y medidas de protección de la cuenta más rigurosas. Para obtener más información, consulta: Seguridad avanzada de la cuenta. No está disponible para usuarios de ChatGPT Enterprise, cuentas gestionadas por empresas ni cuentas asociadas a un dominio gestionado por una empresa.

Tener cuidado con los correos electrónicos y los enlaces

Ten cuidado con los correos electrónicos que pidan credenciales o dirijan a los usuarios a páginas web que requieran datos de la cuenta.

Comprueba siempre dos veces la dirección de correo electrónico y la URL para asegurarte de que proceden de una fuente de confianza.

Responder ante una sospecha de compromiso

Si crees que tu clave de API se ha visto comprometida o sospechas que hay actividad no autorizada en tu cuenta, actúa con rapidez.

Eliminar tus claves de API

Elimina tus claves de API desde el panel de claves de API.

OpenAI también admite el seguimiento del uso por clave de API. Esto facilita ver el uso por función, equipo, producto o proyecto mediante claves de API independientes para cada uno.

Contactar con el soporte de OpenAI

Cuanto antes informes del problema, antes podrá OpenAI ayudar a resolverlo y reducir los posibles daños. Contacta con el soporte de OpenAI abriendo un nuevo chat en cualquier página del Centro de ayuda.

Revisar la actividad de la cuenta

Comprueba si hay actividad desconocida en la cuenta, como un uso inesperado de la API. Los detalles que proporciones pueden ayudar con la recuperación de la cuenta.

Cerrar todas las sesiones

Puedes cerrar todas las sesiones activas en todos los dispositivos. Para obtener instrucciones, consulta: cerrar todas las sesiones.

En ChatGPT:

1. Ve a Configuración.

2. Selecciona Seguridad.

3. Selecciona Sesiones activas.

4. Busca Cerrar todas las sesiones.

5. Selecciona Cerrar todas.

6. En el modal de confirmación, selecciona Cerrar sesión en todos los dispositivos.

Esto cierra todas tus sesiones activas en todos los dispositivos, incluida tu sesión actual. Puede tardar hasta 30 minutos.

En Platform, ve a Tu perfil > Seguridad y selecciona Cerrar sesión en todos los dispositivos.

El cierre de sesión en otras sesiones de ChatGPT puede tardar hasta 30 minutos.