1. Palaging gumamit ng natatanging API key para sa bawat miyembro ng team sa iyong account.

Ang API key ay isang natatanging code na tumutukoy sa iyong mga request sa API. Ang iyong API key ay nilalayong gamitin mo. Ang pagbabahagi ng mga API key ay labag sa Mga tuntunin ng paggamit.

Habang nagsisimula kang mag-eksperimento, maaaring gusto mong palawakin ang access sa API sa iyong team. Hindi sinusuportahan ng OpenAI ang pagbabahagi ng mga API key. Mangyaring mag-imbita ng mga bagong miyembro sa iyong account mula sa page na Members at mabilis nilang matatanggap ang sarili nilang natatanging key pag-sign in. Maaari ka ring magtalaga ng mga pahintulot sa indibidwal na API key.

2. Huwag kailanman i-deploy ang iyong key sa mga client-side environment gaya ng mga browser o mobile app.

Kapag inilantad ang iyong OpenAI API key sa mga client-side environment gaya ng mga browser o mobile app, nabibigyan ng pagkakataon ang mga mapaminsalang user na kunin ang key na iyon at gumawa ng mga request sa ngalan mo – na maaaring humantong sa hindi inaasahang singil o pagkompromiso ng ilang data ng account. Dapat palaging idaan ang mga request sa sarili mong backend server kung saan mapapanatili mong secure ang iyong API key.

3. Huwag kailanman i-commit ang iyong key sa iyong repository

Ang pag-commit ng API key sa source code ay karaniwang paraan ng pagkompromiso ng mga credential. Para sa mga may pampublikong repository, isa itong karaniwang paraan na hindi mo namamalayang naibabahagi mo ang iyong key sa internet. Mas secure ang mga pribadong repository, ngunit maaari ding magresulta ang data breach sa pag-leak ng iyong mga key. Dahil dito, mariin naming inirerekomenda ang paggamit ng mga environment variable bilang proactive na hakbang para sa kaligtasan ng key.

4. Gumamit ng mga environment variable kapalit ng iyong API key

Ang environment variable ay isang variable na itinakda sa iyong operating system, sa halip na sa loob ng iyong application. Binubuo ito ng pangalan at value. Inirerekomenda naming itakda mo ang pangalan ng variable sa OPENAI_API_KEY. Sa pagpapanatiling pare-pareho ng pangalan ng variable na ito sa buong team mo, maaari mong i-commit at ibahagi ang iyong code nang walang panganib na mailantad ang iyong API key.

Pag-set up sa Windows

Opsyon 1: Itakda ang iyong ‘OPENAI_API_KEY’ environment variable sa pamamagitan ng cmd prompt

Patakbuhin ang sumusunod sa cmd prompt, na pinapalitan ang <yourkey> ng iyong API key:

setx OPENAI_API_KEY "<yourkey>"

Malalapat ito sa susunod na cmd prompt window, kaya kakailanganin mong magbukas ng bago para magamit ang variable na iyon sa curl. Maaari mong i-validate na naitakda ang variable na ito sa pamamagitan ng pagbubukas ng bagong cmd prompt window at pag-type ng

echo %OPENAI_API_KEY%

Opsyon 2: Itakda ang iyong ‘OPENAI_API_KEY’ environment variable sa pamamagitan ng Control Panel

Buksan ang mga property ng System at piliin ang Advanced system settings

Windows 10 System settings with Advanced system settings highlighted in Control Panel

Piliin ang Environment Variables...

Windows System Properties Advanced tab with Environment Variables button highlighted

Piliin ang New… mula sa seksyong User variables (itaas). Idagdag ang iyong name/key value pair, na pinapalitan ang <yourkey> ng iyong API key.

Pangalan ng variable: OPENAI_API_KEY
Halaga ng variable: <yourkey>

Pag-set up sa Linux / MacOS

Opsyon 1: Itakda ang iyong ‘OPENAI_API_KEY’ environment variable gamit ang zsh

Patakbuhin ang sumusunod na command sa iyong terminal, na pinapalitan ang yourkey ng iyong API key.

echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrc

I-update ang shell gamit ang bagong variable:

source ~/.zshrc

Kumpirmahin na naitakda mo ang iyong environment variable gamit ang sumusunod na command.

echo $OPENAI_API_KEY

Ang value ng iyong API key ang magiging resultang output.

Opsyon 2: Itakda ang iyong ‘OPENAI_API_KEY’ environment variable gamit ang bash

Sundin ang mga direksyon sa Opsyon 1, na pinapalitan ang .zshrc ng .bash_profile.

Handa ka na! Maaari mo na ngayong i-reference ang key sa curl o i-load ito sa iyong Python:

import os
import openai
 
openai.api_key = os.environ["OPENAI_API_KEY"]

5. Gumamit ng Key Management Service

May iba't ibang produktong available para sa ligtas na pamamahala ng mga secret API key. Binibigyang-daan ka ng mga tool na ito na kontrolin ang access sa iyong mga key at pagandahin ang pangkalahatang seguridad ng iyong data. Kung magkaroon ng data breach sa iyong application, hindi makokompromiso ang iyong (mga) key, dahil naka-encrypt ang mga ito at pinapamahalaan sa ganap na hiwalay na lokasyon.

Para sa mga team na nagde-deploy ng kanilang mga application sa production, inirerekomenda naming isaalang-alang ninyo ang isa sa mga serbisyong ito.

6. Subaybayan ang paggamit ng iyong account at i-rotate ang iyong mga key kapag kailangan

Ang nakompromisong API key ay nagbibigay-daan sa isang tao na magkaroon ng access sa quota ng iyong account nang wala kang pahintulot. Maaari itong magresulta sa pagkawala ng data, hindi inaasahang singil, pagkaubos ng iyong buwanang quota, at pagkaantala sa iyong access sa API.

Maaaring masubaybayan ang Usage ng iyong team sa pamamagitan ng page na Usage. Kung mayroon kang mga alalahanin tungkol sa maling paggamit, may ilang aksyon kang maaaring gawin para protektahan ang iyong account:

Suriin ang iyong paggamit para makita kung tugma ito sa gawain ng iyong team. Para sa mga user na kabilang sa maraming organisasyon (hal. corporate at personal), tiyaking na-enable ng user ang tracking at naitakda ang default organization nila para sa paggamit at tracking.
Kung naniniwala kang na-leak ang iyong key, i-rotate agad ang iyong key mula sa page na API Keys. Para sa mga customer na may mga application sa production, kakailanganin ninyong i-update ang mga value ng inyong key nang naaayon.
Makipag-ugnayan sa amin sa pamamagitan ng help.openai.com para sa karagdagang imbestigasyon.

7. Limitahan ang access sa API gamit ang IP allowlisting

Binibigyang-daan ka ng IP allowlisting na limitahan kung aling mga IP address ang makaka-access sa iyong OpenAI API. Kapag naka-enable, mga request lang mula sa mga naka-configure na IP address o range ang pinapayagan, at tinatanggihan ang lahat ng iba pa—kahit may valid na API key ang mga ito.

Nagdaragdag ito ng karagdagang layer ng proteksyon sa pamamagitan ng pagtiyak na maa-access lang ang iyong API mula sa pinagkakatiwalaang imprastraktura, gaya ng iyong mga backend server o cloud environment.

Para sa higit pang impormasyon, tingnan ang artikulo tungkol sa IP allowlisting para sa OpenAI API.

Mga pinakamahusay na kasanayan para sa kaligtasan ng API key