Pangkalahatang-ideya

Kapag gumagamit ng mga serbisyo ng OpenAI, mahalagang panatilihing secure ang iyong API key at account. Protektahan laban sa mga pag-leak ng API key at pag-agaw ng account gamit ang pinakamahuhusay na kagawiang ito.

Panatilihing secure ang iyong account

Ang seguridad ay pinagsasaluhang responsibilidad. Nagtatrabaho ang OpenAI upang protektahan ang access sa account, at makakatulong ang mga hakbang na ito na bawasan ang panganib ng hindi awtorisadong paggamit. Kung nagamit ang mga kredensyal ng account nang walang pahintulot, iulat ang isyu sa lalong madaling panahon.

Pigilan ang mga pag-leak ng API key

Ang API key ay ang access code na ginagamit upang tawagin ang OpenAI API. Kung ma-leak ito, maaaring ma-access ng mga hindi awtorisadong user ang API sa pamamagitan ng iyong account. Maaari itong magresulta sa mga hindi awtorisadong singil o aktibidad na lumalabag sa aming mga tuntunin ng serbisyo.

Gumamit ng mga environment variable

I-store ang iyong API key sa mga environment variable sa loob ng iyong development environment. Nakakatulong itong panatilihin ang key sa labas ng application code at binabawasan ang panganib na ma-expose.

Kung gumagamit ka ng GitHub Actions, gamitin ang GitHub secrets upang i-store ang iyong API key.

Mag-ingat sa mga third-party na produkto

Mag-ingat sa mga third-party na library, framework, at tool na humihingi ng access sa iyong API key. Kahit mukhang kagalang-galang ang isang produkto, may panganib pa rin na ma-expose o magamit nang mali ang key.

Bago gumamit ng third-party na produkto na nangangailangan ng iyong API key, suriing mabuti ang kumpanya at ang produkto. Tingnan ang mga review, basahin ang patakaran sa privacy, at hanapin ang anumang alalahanin sa seguridad na ibinahagi ng komunidad.

Magtakda ng makatwirang mga limitasyon sa paggastos

Magtakda ng maraming threshold sa paggastos, gaya ng 90% at 95%, laban sa buwanang badyet sa antas ng organisasyon o proyekto upang masubaybayan ang buwanang paggastos.

I-configure ang mga custom na tatanggap ng email upang maisama sa mga mailing list, platform sa pamamahala ng insidente, at messaging platform. Maaari itong i-configure sa mga setting ng Platform.

Huwag isama sa release ang iyong API key

Maaaring nakakaakit na direktang i-embed ang iyong API key sa isang application upang maiwasan ang pagpapatakbo ng server para sa mobile app o katulad na gamit. Gayunpaman, ginagawa nitong madaling maabuso ang API key.

Magsagawa ng masusing code review

Bago mag-push ng code sa mga pampublikong repository, suriin ito upang matiyak na walang sensitibong impormasyon, gaya ng mga API key, ang na-expose.

Gumamit ng mga automated scanning tool na makakapag-flag ng mga posibleng leak. Maaari mo ring suriin ang tutorial ng GitHub tungkol sa secret scanning para sa higit pang gabay.

Kapag natukoy ng OpenAI ang isang API key sa pampublikong internet, o na-leak sa loob ng app sa isang app store, agad na dini-disable ang API key.

Magpatupad ng key rotation

Pana-panahong palitan ang iyong mga API key sa pamamagitan ng pagbura ng mga lumang key at paggawa ng mga bago sa dashboard ng API key.

Pigilan ang pag-agaw ng account

Nangyayari ang pag-agaw ng account kapag may nakakuha ng hindi awtorisadong access sa iyong account, posibleng gumagamit ng mga serbisyo ng OpenAI sa pamamagitan nito, at iniiwan sa may-ari ng account ang bayarin.

Gumamit ng matitibay at natatanging kredensyal sa pag-sign in

Kung gumagamit ka ng password, gumamit ng natatanging password na hindi mo muling ginagamit sa ibang mga site. Inirerekomenda naming gumamit ng password manager upang gumawa at mag-imbak ng mga password.

Palitan agad ang iyong password kung sa tingin mo ay na-expose, nagamit muli, o naibahagi ito.

I-enable ang multi-factor authentication (MFA)

I-enable ang multi-factor authentication (MFA) upang magdagdag ng isa pang hakbang sa pag-verify habang nagsa-sign in. Para sa higit pang impormasyon, tingnan ang: Pag-enable o pag-disable ng multi-factor authentication (MFA).

Kahit makuha ng isang tao ang iyong password, kakailanganin pa rin niya ang pangalawang factor upang ma-access ang iyong account.

Ang pag-enable ng MFA ay hindi nagkakansela ng mga kasalukuyang login. Upang i-block ang sinumang user na nakaka-access na sa iyong account, i-reset muna ang iyong password, at pagkatapos ay i-enable ang MFA.

Kung gusto mo ng proteksyon sa account na sinusuportahan ng hardware at wala ka pang security key, maaaring malaman ng mga kwalipikadong user ng OpenAI ang tungkol sa bundle na OpenAI + Yubico YubiKey. Para matuto pa, tingnan ang: Bundle na OpenAI + Yubico YubiKey.

Gamitin ang Advanced Account Security

Para sa mga kwalipikadong consumer ChatGPT account, nagdaragdag ang Advanced Account Security ng mas mahigpit na mga kinakailangan sa pag-sign in at mas matitibay na proteksyon sa account. Para sa higit pang impormasyon, tingnan ang: Advanced Account Security. Hindi ito available para sa mga user ng ChatGPT Enterprise, mga account na pinamamahalaan ng enterprise, o mga account na nauugnay sa domain na pinamamahalaan ng enterprise.

Mag-ingat sa mga email at link

Mag-ingat sa mga email na humihingi ng mga kredensyal o nagtuturo sa mga user sa mga web page na nangangailangan ng mga detalye ng account.

Laging i-double-check ang email address at URL upang matiyak na mula ang mga ito sa pinagkakatiwalaang source.

Tumugon sa pinaghihinalaang pagkakompromiso

Kung sa tingin mo ay nakompromiso ang iyong API key, o naghihinala ka ng hindi awtorisadong aktibidad sa iyong account, kumilos kaagad.

Burahin ang iyong mga API key

Burahin ang iyong mga API key sa pamamagitan ng dashboard ng API key.

Sinusuportahan din ng OpenAI ang pagsubaybay sa paggamit ayon sa API key. Pinapadali nito ang pagtingin sa paggamit ayon sa feature, team, produkto, o proyekto sa pamamagitan ng paggamit ng hiwa-hiwalay na API key para sa bawat isa.

Makipag-ugnayan sa OpenAI Support

Mas maaga mong maiulat ang isyu, mas maaga kang matutulungan ng OpenAI na maresolba ito at mabawasan ang posibleng pinsala. Makipag-ugnayan sa OpenAI Support sa pamamagitan ng pagbubukas ng bagong chat sa anumang page ng Help Center.

Suriin ang aktibidad ng account

Tingnan ang account para sa hindi pamilyar na aktibidad, gaya ng hindi inaasahang paggamit ng API. Makakatulong ang mga detalyeng ibibigay mo sa pagbawi ng account.

Mag-log out sa lahat ng session

Maaari kang mag-log out sa lahat ng aktibong session sa iba’t ibang device. Para sa mga tagubilin, tingnan ang: Mag-log out sa lahat ng session.

Sa ChatGPT:

1. Pumunta sa Mga Setting.

2. Piliin ang Seguridad.

3. Piliin ang Mga aktibong session.

4. Hanapin ang Mag-log out sa lahat ng session.

5. Piliin ang I-log out ang lahat.

6. Sa modal ng pagkumpirma, piliin ang Mag-log out sa lahat ng device.

Ila-log out ka nito sa lahat ng aktibong session sa iba’t ibang device, kabilang ang kasalukuyan mong session. Maaaring tumagal ito nang hanggang 30 minuto.

Sa Platform, pumunta sa Iyong Profile > Seguridad at piliin ang Mag-log out sa lahat ng device.

Maaaring tumagal nang hanggang 30 minuto bago ma-log out ang iba pang session sa ChatGPT.