Présentation
Utilisez ce guide pour protéger votre compte OpenAI, vérifier l'activité de sécurité et gérer les sessions actives. Si vous utilisez l'API OpenAI, suivez les recommandations relatives aux clés API pour protéger vos clés et surveiller leur utilisation.
Si vous soupçonnez que votre compte ou votre clé API a été compromis, consultez Réagir à une compromission présumée et contactez immédiatement l'assistance OpenAI.
Protégez votre compte
Commencez par vos identifiants de connexion et vos paramètres de sécurité. Ces mesures peuvent contribuer à réduire le risque d'accès non autorisé à votre compte.
Utilisez des identifiants de connexion forts et uniques
Si vous utilisez un mot de passe, choisissez un mot de passe unique que vous ne réutilisez pas sur d’autres sites. Nous recommandons d’utiliser un gestionnaire de mots de passe pour générer et stocker vos mots de passe.
Modifiez immédiatement votre mot de passe si vous pensez qu’il a été exposé, réutilisé ou partagé.
Activer l'authentification multifacteur (MFA)
Activez l'authentification multifacteur (MFA) pour ajouter une étape de vérification supplémentaire lors de la connexion. Pour en savoir plus, consultez : Activer ou désactiver l'authentification multifacteur (MFA).
Même si quelqu'un obtient votre mot de passe, cette personne aurait malgré tout besoin du deuxième facteur pour accéder à votre compte.
L'activation de l'authentification multifacteur (MFA) n'annule pas les connexions en cours. Si vous soupçonnez un accès non autorisé, modifiez votre mot de passe si vous en utilisez un et déconnectez-vous de toutes les sessions avant d'activer l'authentification multifacteur (MFA).
Si vous voulez bénéficier d'une protection de compte reposant sur du matériel et que vous ne possédez pas encore de clé de sécurité, les utilisateurs OpenAI éligibles peuvent en savoir plus sur l'offre groupée OpenAI + Yubico YubiKey. Pour en savoir plus, consultez : Offre groupée OpenAI + Yubico YubiKey.
Utilisez la sécurité avancée du compte
Pour les comptes ChatGPT grand public éligibles, la Sécurité avancée du compte ajoute des exigences de connexion renforcées et des mesures de protection du compte plus strictes. Pour plus d’informations, consultez : Sécurité avancée du compte. Cette fonctionnalité n’est pas disponible pour les utilisateurs de ChatGPT Enterprise, les comptes gérés par une entreprise ou les comptes associés à un domaine géré par une entreprise.
Faites preuve de prudence avec les e-mails et les liens.
Faites preuve de prudence avec les e-mails qui demandent des identifiants ou redirigent les utilisateurs vers des pages web nécessitant les informations de leur compte.
Vérifiez toujours l'adresse e-mail et l'URL afin de vous assurer qu'elles proviennent d'une source fiable.
Veuillez vérifier l'activité de votre compte et gérer les sessions
L'historique de sécurité affiche les événements de sécurité passés. Utilisez Sessions actives pour examiner et gérer les sessions actuelles.
Consultez votre historique de sécurité
L'historique de sécurité affiche les événements de sécurité récents liés à votre compte OpenAI. Par exemple, les connexions, les déconnexions, les modifications de mot de passe et les modifications apportées à l'authentification multifacteur (MFA), aux clés d'accès et à d'autres paramètres de sécurité.
Pour ouvrir votre historique de sécurité sur Internet :
Dans ChatGPT, accédez aux Paramètres.
Sélectionnez Sécurité et connexion.
Sélectionnez l' Historique de sécurité.
Consultez le type et l'heure de l'événement, ainsi que les informations de localisation et d'appareil. Certaines informations peuvent être approximatives ou indisponibles.
Si vous constatez une activité que vous n'avez pas effectuée ou autorisée, suivez les étapes indiquées dans Répondre à une compromission suspectée.
Déconnexion de toutes les sessions
Vous pouvez vous déconnecter de toutes vos sessions actives sur tous les appareils. Pour vérifier et gérer des sessions individuelles, consultez : Gérer les sessions actives dans ChatGPT.
Dans ChatGPT sur le Web :
Accédez aux Paramètres.
Sélectionnez Sécurité et connexion.
Sélectionnez Sessions actives.
Accédez à Se déconnecter de toutes les sessions.
Sélectionnez Tout déconnecter.
Dans la fenêtre modale de confirmation, sélectionnez Se déconnecter de tous les appareils.
Cette action vous déconnecte de toutes les sessions actives sur tous vos appareils, y compris votre session actuelle. Il peut s’écouler jusqu’à 30 minutes avant que les autres sessions ChatGPT ne soient déconnectées.
Sur la plateforme, accédez à Votre profil > Sécurité et sélectionnez Se déconnecter de tous les appareils.
Protégez vos clés API
Si vous utilisez l'API OpenAI, protégez vos clés API ainsi que vos identifiants de connexion. Une clé API exposée peut permettre une utilisation non autorisée de l'API via votre compte, pouvant ainsi entraîner des frais ou une activité violant nos conditions de service.
Utilisez des variables d'environnement
Stockez votre clé API dans des variables d'environnement au sein de votre environnement de développement. Cela permet d'éviter que la clé ne se retrouve dans le code de l'application et réduit le risque d'exposition.
Si vous utilisez GitHub Actions, utilisez les secrets GitHub pour stocker votre clé API.
Ne transmettez pas votre clé API.
N'intégrez pas votre clé API directement dans une application, telle qu'une application mobile. Ceci rend la clé vulnérable à la divulgation et à une utilisation abusive.
Faites preuve de prudence avec les produits tiers
Faites preuve de prudence avec les bibliothèques, les frameworks et les outils tiers qui demandent l'accès à votre clé API. Même si un produit semble digne de confiance, il existe toujours un risque de divulgation de clés ou d'utilisation abusive.
Avant d'utiliser un produit tiers nécessitant votre clé API, examinez attentivement l'entreprise et le produit. Consultez les avis, lisez la politique de confidentialité et recherchez d'éventuelles préoccupations en matière de sécurité soulevées par la communauté.
Vérifiez le code avant de le publier
Avant de publier du code vers des dépôts publics, vérifiez-le pour vous assurer qu'aucune information sensible, comme des clés API, n'est exposée.
Utilisez des outils d’analyse automatisée capables d’identifier les fuites potentielles. Vous pouvez également consulter le tutoriel de GitHub sur l’analyse des secrets pour obtenir davantage de conseils.
Lorsqu’OpenAI détecte une clé API sur l’internet public ou qu’elle a fuité dans une application disponible sur une boutique d’applications, la clé API est immédiatement désactivée.
Changez vos clés API
Renouvelez régulièrement vos clés API en supprimant les anciennes clés et en créant de nouvelles via le tableau de bord des clés API.
Surveillez les dépenses et l'utilisation de l'API
Définissez plusieurs seuils de dépenses, comme 90 % et 95 %, par rapport à un budget mensuel au niveau de l'organisation ou du projet pour surveiller les dépenses mensuelles.
Configurez des destinataires e-mail personnalisés pour les intégrer à des listes de diffusion, des plateformes de gestion des incidents et des plateformes de messagerie. Vous pouvez configurer cela dans les paramètres de la plateforme.
Vous pouvez également appliquer une limite stricte au niveau de l'organisation ou du projet afin de bloquer les requêtes API concernées lorsque les dépenses suivies atteignent ce montant. L'application n'étant pas instantanée, les dépenses enregistrées peuvent légèrement dépasser la limite. Pour plus d'informations, consultez : Plafonds de dépenses.
Utilisez des clés API distinctes pour chaque fonctionnalité, équipe, produit ou projet afin de faciliter le suivi de l'utilisation. Pour plus d'informations, consultez : suivi de l'utilisation par clé API.
Répondre à une compromission suspectée
Agissez rapidement si vous soupçonnez un accès non autorisé à votre compte ou l'exposition d'une clé API. Suivez les étapes correspondant à votre situation.
Sécurisez votre compte après une suspicion d'accès non autorisé
Si vous utilisez un mot de passe et pensez qu'il a été exposé, réutilisé ou partagé, modifiez-le immédiatement.
Déconnectez-vous de toutes les sessions en suivant les instructions ci-dessus.
Si vous utilisez l'API OpenAI, supprimez vos clés API et vérifiez l'utilisation de votre API afin de détecter toute activité inhabituelle.
Consultez l'historique de sécurité pour repérer toute activité inhabituelle. Pour sécuriser la récupération de votre compte, mettez à jour vos informations de récupération.
Révoquer une clé API exposée
Si vous pensez qu'une clé API a été compromise :
Supprimez la clé concernée via le tableau de bord des clés API.
Vérifiez votre utilisation de l'API pour détecter toute activité inhabituelle et conservez les détails.
Contactez l'assistance OpenAI
Contactez l'équipe d'assistance d'OpenAI en ouvrant une nouvelle discussion sur n'importe quelle page du centre d'aide. Veuillez inclure les informations de toute activité que vous n'avez pas effectuée ou autorisée. Ces informations peuvent faciliter la récupération de votre compte.