1. Uvijek koristite jedinstveni API ključ za svakog člana tima na svojem računu.
API ključ jedinstveni je kod koji identificira vaše zahtjeve prema API-ju. Vaš API ključ namijenjen je isključivo vama. Dijeljenje API ključeva protivno je Uvjetima korištenja.
Kad počnete eksperimentirati, možda ćete poželjeti omogućiti pristup API-ju i svojem timu. OpenAI ne podržava dijeljenje API ključeva. Pozovite nove članove na svoj račun sa stranice Članovi i oni će ubrzo nakon prijave dobiti vlastiti jedinstveni ključ. Možete i dodijeliti dopuštenja pojedinačnim API ključevima.
2. Izradite API ključeve s datumom isteka i uspostavite postupak njihove redovite zamjene
Projektni ključevi mogu se izraditi s datumom isteka nakon kojeg će svi zahtjevi koji ih upotrebljavaju biti odbijeni. Izričito preporučujemo izradu ključeva s datumom isteka i uspostavu postupka njihove redovite zamjene. Prije isteka ključa izradite zamjenski ključ, ažurirajte aplikacije tako da ga upotrebljavaju i opozovite stari ključ nakon što provjerite da novi radi. Ti postupci mogu znatno ublažiti posljedice curenja API ključeva.
Administratori mogu odrediti najdulje dopušteno trajanje API ključa na razini organizacije ili projekta u postavkama platforme. Novi ključevi moraju se konfigurirati unutar dopuštenih ograničenja, čime se sprječava da ostanu valjani neograničeno dugo. Ograničenja za projekte ne mogu premašiti ograničenje organizacije.
Za podržana radna opterećenja upotrebljavajte federaciju identiteta radnih opterećenja umjesto pohranjivanja dugotrajnog API ključa za OpenAI. Vaše radno opterećenje razmjenjuje identitet pouzdanog pružatelja za kratkotrajni pristupni token za OpenAI. Konfigurirajte namjenski servisni račun samo s dozvolama koje su potrebne tom radnom opterećenju.
3. Nikad ne ugrađujte ključ u okruženja na strani klijenta, poput preglednika ili mobilnih aplikacija.
Izlaganje API ključa za OpenAI u okruženjima na strani klijenta, poput preglednika ili mobilnih aplikacija, omogućuje zlonamjernim korisnicima da preuzmu taj ključ i šalju zahtjeve u vaše ime, što može dovesti do neočekivanih troškova ili ugrožavanja određenih podataka računa. Zahtjeve treba uvijek usmjeravati putem vlastitog pozadinskog poslužitelja, na kojem možete sigurno čuvati svoj API ključ.
4. Nikada nemojte pohraniti ključ u repozitorij
Pohranjivanje ključa API-ja u izvorni kôd čest je način ugrožavanja vjerodajnica. Ako imate javni repozitorij, tako možete nehotice podijeliti svoj ključ sa svima na internetu. Privatni repozitoriji sigurniji su, no proboj podataka također može dovesti do otkrivanja vaših ključeva. Stoga radi proaktivne zaštite ključeva izričito preporučujemo upotrebu varijabli okruženja.
5. Umjesto izravnog unosa API ključa koristite varijable okruženja
Postavljanje u sustavu Windows
Varijabla okruženja postavlja se u operacijskom sustavu, a ne unutar aplikacije. Sastoji se od naziva i vrijednosti. Preporučujemo da varijablu nazovete OPENAI_API_KEY. Ako cijeli tim koristi isti naziv varijable, možete spremati promjene u repozitorij i dijeliti kod bez rizika od otkrivanja API ključa.
1. mogućnost: Postavite varijablu okruženja „OPENAI_API_KEY” putem naredbenog retka cmd
Pokrenite sljedeću naredbu u naredbenom retku cmd, pri čemu <yourkey> zamijenite svojim API ključem:
setx OPENAI_API_KEY "<yourkey>"To će se primjenjivati na buduće prozore naredbenog retka cmd, pa morate otvoriti novi prozor kako biste tu varijablu upotrebljavali s alatom curl. Da biste provjerili je li varijabla postavljena, otvorite novi prozor naredbenog retka cmd i upišite
echo %OPENAI_API_KEY%2. mogućnost: Postavite varijablu okruženja „OPENAI_API_KEY” putem upravljačke ploče
Otvorite svojstva sustava i odaberite Dodatne postavke sustava
Odaberite Varijable okruženja...
Odaberite Novo… u odjeljku Korisničke varijable (na vrhu). Dodajte par naziva i vrijednosti ključa, pri čemu <yourkey> zamijenite svojim API ključem.
Naziv varijable: OPENAI_API_KEY
Vrijednost varijable: <yourkey>Postavljanje u Linuxu i macOS-u
1. mogućnost: Postavite varijablu okruženja „OPENAI_API_KEY” putem ljuske zsh
Pokrenite sljedeću naredbu u terminalu, pri čemu yourkey zamijenite svojim API ključem.
echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrcAžurirajte ljusku novom varijablom:
source ~/.zshrcPotvrdite da ste postavili varijablu okruženja pomoću sljedeće naredbe.
echo $OPENAI_API_KEYVrijednost vašeg API ključa bit će rezultirajući izlaz.
Opcija 2: Postavite varijablu okruženja „OPENAI_API_KEY” pomoću basha
Slijedite upute iz Opcije 1, zamijenivši .zshrc s .bash_profile.
Sve je spremno! Sada možete referencirati ključ u curlu ili ga učitati u svoj Python kod:
import os
import openai
openai.api_key = os.environ["OPENAI_API_KEY"]6. Koristite uslugu za upravljanje ključevima
Dostupni su razni proizvodi za sigurno upravljanje tajnim API ključevima. Ti alati omogućuju vam kontrolu pristupa ključevima i poboljšanje ukupne sigurnosti podataka. U slučaju povrede podataka u vašoj aplikaciji, vaši ključevi ne bi bili ugroženi jer bi bili šifrirani i njima bi se upravljalo na potpuno odvojenoj lokaciji.
Timovima koji uvode aplikacije u produkcijsko okruženje preporučujemo da razmotre neku od tih usluga.
7. Pratite potrošnju na računu i po potrebi zamijenite ključeve
Postavite mjesečna ograničenja potrošnje za svoju organizaciju ili projekte i uključite njihovu strogu provedbu kako biste ograničili neočekivane troškove zbog otkrivenog ključa. Sama upozorenja o potrošnji ne zaustavljaju promet prema API-ju. Stroga provedba može blokirati legitimne zahtjeve, a potrošnja može neznatno premašiti ograničenje jer se ono ne provodi trenutačno.
Kompromitirani API ključ omogućuje drugoj osobi da bez vašeg pristanka koristi kvotu vašeg računa. To može dovesti do gubitka podataka, neočekivanih troškova, iscrpljivanja mjesečne kvote i prekida pristupa API-ju.
Potrošnju svojih timova možete pratiti na stranici Potrošnja. Ako posumnjate na zloupotrebu, možete poduzeti nekoliko koraka kako biste zaštitili svoj račun:
Pregledajte potrošnju kako biste provjerili odgovara li radu vašeg tima. Za korisnike koji pripadaju više organizacija (npr. poslovnoj i osobnoj) provjerite jesu li uključili praćenje i postavili zadanu organizaciju za potrošnju i praćenje.
Ako smatrate da je vaš ključ otkriven, odmah ga zamijenite na stranici API ključevi. Ako imate aplikacije u produkcijskom okruženju, morat ćete u njima ažurirati vrijednosti ključeva.
Obratite nam se putem stranice help.openai.com kako bismo dodatno istražili slučaj.
8. Zaštitite pristup API-ju mrežnim kontrolama
Popis dopuštenih IP adresa omogućuje vam da ograničite s kojih se IP adresa može pristupiti vašem OpenAI API-ju. Kad je uključen, dopušteni su samo zahtjevi s navedenih IP adresa ili raspona, a svi ostali se odbijaju, čak i ako sadrže valjan API ključ.
Time se dodaje još jedan sloj zaštite jer se vašem API-ju može pristupiti samo iz pouzdane infrastrukture, poput vaših pozadinskih poslužitelja ili okruženja u oblaku.
Više informacija potražite u članku o popisu dopuštenih IP adresa za OpenAI API.
Private Link još je jedna mogućnost za organizacije kojima je potreban pristup putem privatne mreže. Omogućuje povezivanje radnih opterećenja u Azureu s regionalnim krajnjim točkama OpenAI API-ja putem usluge Azure Private Link. Za pristup se obratite svojem predstavniku tvrtke OpenAI ili prodajnom timu. Autentifikacija za API i dalje je obavezna, a Private Link nije kompatibilan s popisom dopuštenih IP adresa ni s uzajamnim TLS-om (mTLS). Pojedinosti o postavljanju potražite u vodiču za Private Link.