סקירה כללית
היעזרו במדריך הזה כדי להגן על חשבון OpenAI שלכם, לבדוק את פעילות האבטחה ולנהל חיבורים פעילים. אם אתם משתמשים ב-API של OpenAI, פעלו לפי ההנחיות למפתחות API כדי להגן על המפתחות שלכם ולעקוב אחר השימוש.
אם אתם חושבים שהחשבון שלכם נפרץ או שמפתח ה-API שלכם נחשף, עברו לסעיף פעלו במקרה של חשד לפריצה ופנו מיד לתמיכה של OpenAI.
שמרו על אבטחת החשבון שלכם
התחילו בפרטי הכניסה ובהגדרות האבטחה שלכם. הצעדים האלה יכולים לעזור להפחית את הסיכון לגישה לא מורשית לחשבון.
השתמשו בפרטי כניסה חזקים וייחודיים
אם אתם משתמשים בסיסמה, בחרו סיסמה ייחודית שאינכם משתמשים בה באתרים אחרים. אנו ממליצים להשתמש במנהל סיסמאות כדי ליצור ולשמור סיסמאות.
שנו את הסיסמה מיד אם אתם חושבים שהיא נחשפה, שימשה גם במקום אחר או שותפה עם אחרים.
הפעילו אימות רב-שלבי (MFA)
הפעילו אימות רב-שלבי (MFA) כדי להוסיף שלב אימות נוסף בעת הכניסה לחשבון. למידע נוסף, עיינו במאמר: הפעלה או השבתה של אימות רב-שלבי (MFA).
גם אם מישהו ישיג את הסיסמה שלכם, הוא עדיין יזדקק לאמצעי האימות השני כדי לגשת לחשבון.
הפעלת MFA אינה מנתקת חיבורים קיימים. אם אתם חושדים שהייתה גישה לא מורשית, שנו את הסיסמה שלכם אם אתם משתמשים בסיסמה, והתנתקו מכל החיבורים לפני הפעלת MFA.
אם אתם מעוניינים בהגנה על החשבון המבוססת על חומרה ועדיין אין לכם מפתח אבטחה, משתמשי OpenAI שעומדים בתנאי הזכאות יכולים לקבל מידע על חבילת OpenAI + Yubico YubiKey. למידע נוסף, עיינו במאמר: חבילת OpenAI + Yubico YubiKey.
השתמשו בבטיחות חשבון מתקדמת
בחשבונות ChatGPT פרטיים שעומדים בתנאי הזכאות, בטיחות חשבון מתקדמת מוסיפה דרישות כניסה מחמירות יותר ואמצעי הגנה קפדניים יותר על החשבון. למידע נוסף, עיינו במאמר: בטיחות חשבון מתקדמת. האפשרות אינה זמינה למשתמשי ChatGPT Enterprise, לחשבונות בניהול ארגוני או לחשבונות המשויכים לדומיין בניהול ארגוני.
היזהרו מהודעות דוא״ל ומקישורים
היזהרו מהודעות דוא״ל שמבקשות פרטי כניסה או מפנות משתמשים לדפי אינטרנט שדורשים פרטי חשבון.
בדקו תמיד היטב את כתובת הדוא״ל ואת כתובת האתר כדי לוודא שהן שייכות למקור מהימן.
בדקו את הפעילות בחשבון ונהלו חיבורים
היסטוריית האבטחה מציגה אירועי אבטחה מהעבר. השתמשו באפשרות חיבורים פעילים כדי לבדוק ולנהל את החיבורים הנוכחיים.
בדקו את היסטוריית האבטחה שלכם
היסטוריית האבטחה מציגה אירועי אבטחה שהתרחשו לאחרונה בחשבון OpenAI שלכם. לדוגמה: כניסות, יציאות, שינויי סיסמה ושינויים באימות רב-שלבי (MFA), במפתחות גישה ובהגדרות אבטחה אחרות.
כדי לפתוח את היסטוריית האבטחה בדפדפן:
ב-ChatGPT, עברו אל הגדרות.
בחרו באפשרות אבטחה וכניסה.
בחרו באפשרות היסטוריית אבטחה.
בדקו את סוג האירוע ואת מועדו, לצד פרטי המיקום והמכשיר. חלק מהפרטים עשויים להיות משוערים או לא זמינים.
אם אתם רואים פעילות שלא ביצעתם או אישרתם, פעלו לפי השלבים בסעיף פעלו במקרה של חשד לפריצה.
התנתקו מכל החיבורים
אפשר להתנתק מכל החיבורים הפעילים בכל המכשירים. לבדיקה ולניהול של חיבורים בודדים, עיינו במאמר: ניהול חיבורים פעילים ב-ChatGPT.
ב-ChatGPT בדפדפן:
עברו אל הגדרות.
בחרו באפשרות אבטחה וכניסה.
בחרו באפשרות חיבורים פעילים.
מצאו את האפשרות התנתקות מכל החיבורים.
בחרו באפשרות התנתקות מהכול.
בחלון האישור, בחרו באפשרות התנתקות מכל המכשירים.
פעולה זו מנתקת אתכם מכל החיבורים הפעילים בכל המכשירים, כולל החיבור הנוכחי שלכם. הניתוק מחיבורים אחרים ל-ChatGPT עשוי להימשך עד 30 דקות.
בפלטפורמה, עברו אל הפרופיל שלכם > אבטחה ובחרו באפשרות התנתקות מכל המכשירים.
הגנו על מפתחות ה-API שלכם
אם אתם משתמשים ב-API של OpenAI, הגנו על מפתחות ה-API שלכם וגם על פרטי הכניסה שלכם. מפתח API שנחשף עלול לאפשר שימוש לא מורשה ב-API דרך החשבון שלכם, ולהוביל לחיובים או לפעילות שמפרה את תנאי השירות שלנו.
השתמשו במשתני סביבה
שמרו את מפתח ה-API שלכם במשתני סביבה בסביבת הפיתוח שלכם. כך אפשר להשאיר את המפתח מחוץ לקוד האפליקציה ולהפחית את הסיכון לחשיפתו.
אם אתם משתמשים ב-GitHub Actions, השתמשו בסודות של GitHub כדי לשמור את מפתח ה-API שלכם.
אל תפיצו את מפתח ה-API שלכם עם האפליקציה
אל תטמיעו את מפתח ה-API שלכם ישירות באפליקציה, למשל באפליקציה לנייד. הטמעה כזו מסכנת את המפתח בחשיפה ובשימוש לרעה.
היזהרו בעת שימוש במוצרים של צד שלישי
נקטו זהירות בשימוש בספריות, בסביבות עבודה ובכלים של צד שלישי שמבקשים גישה למפתח ה-API שלכם. גם אם המוצר נראה אמין, עדיין קיים סיכון לחשיפת המפתח או לשימוש לרעה בו.
לפני השימוש במוצר של צד שלישי שדורש את מפתח ה-API שלכם, בדקו היטב את החברה ואת המוצר. בדקו ביקורות, קראו את מדיניות הפרטיות וחפשו חששות בנוגע לאבטחה שהועלו בקהילה.
בדקו את הקוד לפני הפרסום
לפני העלאת קוד למאגרים ציבוריים, בדקו אותו כדי לוודא שלא נחשף מידע רגיש, כמו מפתחות API.
השתמשו בכלי סריקה אוטומטיים שיכולים להתריע על דליפות אפשריות. להנחיות נוספות, אפשר גם לעיין במדריך של GitHub לסריקת סודות.
כש-OpenAI מזהה מפתח API שחשוף באינטרנט או שדלף בתוך אפליקציה בחנות אפליקציות, המפתח מושבת מיד.
החליפו את מפתחות ה-API שלכם
החליפו את מפתחות ה-API שלכם מדי פעם: מחקו מפתחות ישנים וצרו חדשים דרך לוח הבקרה של מפתחות ה-API.
עקבו אחר ההוצאות והשימוש ב-API
הגדירו כמה ספי הוצאה, למשל 90% ו-95% מהתקציב החודשי, ברמת הארגון או הפרויקט, כדי לעקוב אחר ההוצאות החודשיות.
הגדירו נמעני דוא״ל מותאמים אישית לצורך שילוב עם רשימות תפוצה, פלטפורמות לניהול אירועים ופלטפורמות להעברת הודעות. אפשר להגדיר זאת בהגדרות הפלטפורמה.
אפשר גם לאכוף תקרת הוצאות קשיחה לארגון או לפרויקט, כדי לעצור את בקשות ה-API הרלוונטיות כשההוצאות שנמדדו מגיעות לסכום הזה. האכיפה אינה מיידית, ולכן ההוצאות הרשומות עשויות לחרוג מעט מהתקרה. למידע נוסף, עיינו במאמר: מגבלות הוצאה.
השתמשו במפתחות API נפרדים לכל תכונה, צוות, מוצר או פרויקט כדי להקל על המעקב אחר השימוש. למידע נוסף, ראו: מעקב אחר שימוש לפי מפתח API.
פעלו במקרה של חשד לפריצה
פעלו במהירות אם אתם חושדים שהייתה גישה לא מורשית לחשבון או שמפתח API נחשף. בצעו את השלבים המתאימים למצבכם.
אבטחו את החשבון לאחר חשד לגישה לא מורשית
אם אתם משתמשים בסיסמה וחושבים שהיא נחשפה, שימשה גם במקום אחר או שותפה עם אחרים, שנו אותה מיד.
התנתקו מכל החיבורים לפי ההוראות שלמעלה.
אם אתם משתמשים ב-API של OpenAI, מחקו את מפתחות ה-API שלכם ובדקו את השימוש ב-API כדי לאתר פעילות לא צפויה.
בדקו את היסטוריית האבטחה שלכם כדי לאתר פעילות שאינכם מזהים. שמרו פרטים שעשויים לסייע בשחזור הגישה לחשבון.
בטלו מפתח API שנחשף
אם אתם חושבים שמפתח API נחשף לגורם לא מורשה:
מחקו את המפתח שנפגע דרך לוח הבקרה של מפתחות ה-API.
בדקו את השימוש ב-API כדי לאתר פעילות לא צפויה ושמרו את הפרטים.
פנו לתמיכה של OpenAI
פנו לתמיכה של OpenAI באמצעות פתיחת צ׳אט חדש בכל דף במרכז העזרה. צרפו פרטים על פעילות שלא ביצעתם או אישרתם. הפרטים האלה יכולים לסייע בשחזור הגישה לחשבון.