Aperçu

Lorsque vous utilisez les services OpenAI, il est important de sécuriser à la fois votre clé API et votre compte. Protégez-vous contre les fuites de clés API et les prises de contrôle de compte grâce à ces pratiques exemplaires.

Sécurisez votre compte

La sécurité est une responsabilité partagée. OpenAI s’efforce de protéger l’accès aux comptes, et ces étapes peuvent aider à réduire le risque d’utilisation non autorisée. Si des identifiants de compte sont utilisés sans autorisation, signalez le problème dès que possible.

Prévenez les fuites de clés API

Une clé API est le code d’accès utilisé pour appeler l’API OpenAI. Si elle est divulguée, des utilisateurs non autorisés pourraient accéder à l’API par l’intermédiaire de votre compte. Cela peut entraîner des frais non autorisés ou une activité qui contrevient à nos conditions d’utilisation.

Utilisez des variables d’environnement

Stockez votre clé API dans des variables d’environnement au sein de votre environnement de développement. Cela aide à garder la clé hors du code de l’application et réduit le risque d’exposition.

Si vous utilisez GitHub Actions, utilisez les secrets GitHub pour stocker votre clé API.

Faites preuve de prudence avec les produits tiers

Faites preuve de prudence avec les bibliothèques, les cadres et les outils tiers qui demandent l’accès à votre clé API. Même si un produit semble fiable, il existe toujours un risque d’exposition ou d’utilisation abusive de la clé.

Avant d’utiliser un produit tiers qui nécessite votre clé API, examinez soigneusement l’entreprise et le produit. Consultez les avis, lisez la politique de confidentialité et recherchez les problèmes de sécurité soulevés par la communauté.

Définissez des limites de dépenses raisonnables

Définissez plusieurs seuils de dépenses, comme 90 % et 95 %, par rapport à un budget mensuel au niveau de l’organisation ou du projet afin de surveiller les dépenses mensuelles.

Configurez des destinataires de courriel personnalisés pour les intégrer aux listes de diffusion, aux plateformes de gestion des incidents et aux plateformes de messagerie. Cela peut être configuré dans les paramètres de la plateforme.

N’intégrez pas votre clé API

Il peut être tentant d’intégrer votre clé API directement dans une application afin d’éviter d’exécuter un serveur pour une application mobile ou un cas d’utilisation similaire. Cependant, cela rend la clé API vulnérable à une utilisation abusive.

Effectuez des revues de code approfondies

Avant de pousser du code vers des dépôts publics, examinez-le pour vous assurer qu’aucun renseignement sensible, comme des clés API, n’est exposé.

Utilisez des outils d’analyse automatisés capables de signaler les fuites potentielles. Vous pouvez également consulter le tutoriel d’analyse des secrets de GitHub pour obtenir plus de conseils.

Lorsqu’OpenAI détecte une clé API sur l’Internet public, ou divulguée dans une application dans une boutique d’applications, la clé API est immédiatement désactivée.

Mettez en œuvre la rotation des clés

Changez périodiquement vos clés API en supprimant les anciennes clés et en en créant de nouvelles au moyen du tableau de bord des clés API.

Prévenez les prises de contrôle de compte

Une prise de contrôle de compte se produit lorsqu’une personne obtient un accès non autorisé à votre compte, utilise potentiellement les services OpenAI par son intermédiaire et laisse la facture au propriétaire du compte.

Utilisez des mots de passe robustes ou l’authentification Google

Si vous utilisez un mot de passe, combinez des lettres majuscules et minuscules, des chiffres et des caractères spéciaux. Nous recommandons d’utiliser un gestionnaire de mots de passe pour générer et stocker les mots de passe.

Mettez votre mot de passe à jour tous les quelques mois.

Activez l’authentification multifacteur (AMF)

Activez l’authentification multifacteur (AMF) pour ajouter une étape de vérification supplémentaire, généralement au moyen de votre téléphone.

Même si quelqu’un obtient votre mot de passe, il lui faudrait quand même le deuxième facteur pour accéder à votre compte.

L’activation de l’AMF n’annule pas les connexions existantes. Pour bloquer les utilisateurs qui accèdent déjà à votre compte, réinitialisez d’abord votre mot de passe, puis activez l’AMF.

Utilisez la sécurité avancée du compte

Pour les comptes ChatGPT grand public admissibles, la sécurité avancée du compte ajoute des exigences de connexion plus strictes et des protections de compte renforcées. Elle n’est pas offerte aux utilisateurs de ChatGPT Enterprise, aux comptes gérés par une entreprise ni aux comptes associés à un domaine géré par une entreprise.

Faites preuve de prudence avec les courriels et les liens

Faites preuve de prudence avec les courriels qui demandent des identifiants ou qui dirigent les utilisateurs vers des pages Web nécessitant des détails de compte.

Vérifiez toujours attentivement l’adresse courriel et l’URL pour vous assurer qu’elles proviennent d’une source fiable.

Réagissez à une compromission présumée

Si vous pensez que votre clé API a été compromise, ou si vous soupçonnez une activité non autorisée sur votre compte, agissez rapidement.

Supprimez vos clés API

Supprimez vos clés API au moyen du tableau de bord des clés API.

OpenAI prend également en charge le suivi de l’utilisation par clé API. Cela facilite l’affichage de l’utilisation par fonctionnalité, équipe, produit ou projet en utilisant des clés API distinctes pour chacun.

Communiquez avec le soutien d’OpenAI

Plus vous signalez le problème tôt, plus OpenAI peut vous aider rapidement à le résoudre et à réduire les dommages potentiels. Communiquez avec le soutien d’OpenAI en ouvrant une nouvelle conversation sur n’importe quelle page du centre d’assistance.

Examinez l’activité du compte

Vérifiez si le compte présente une activité inconnue, comme une utilisation inattendue de l’API. Les détails que vous fournissez peuvent aider à la récupération du compte.

Déconnectez-vous de toutes les sessions

Vous pouvez vous déconnecter de toutes les sessions actives sur tous les appareils.

Dans ChatGPT :

1. Accédez à Paramètres.

2. Sélectionnez Sécurité.

3. Sélectionnez Sessions actives.

4. Trouvez Se déconnecter de toutes les sessions.

5. Sélectionnez Tout déconnecter.

6. Dans la fenêtre de confirmation, sélectionnez Se déconnecter de tous les appareils.

Cela vous déconnecte de toutes les sessions actives sur tous les appareils, y compris votre session actuelle. Cela peut prendre jusqu’à 30 minutes.

Sur la plateforme, accédez à Votre profil > Sécurité et sélectionnez Se déconnecter de tous les appareils.

La déconnexion des autres sessions ChatGPT peut prendre jusqu’à 30 minutes.