概要
このガイドでは、OpenAI アカウントを保護し、セキュリティアクティビティを確認して、アクティブセッションを管理する方法を説明します。OpenAI API を利用している場合は、API キーを保護して使用状況を監視するため、API キーに関するガイダンスに従ってください。
アカウントまたは API キーが侵害された可能性があると思われる場合は、「侵害の疑いへの対応」に移動し、直ちに OpenAI サポートにお問い合わせください。
アカウントを安全に保つ
まず、サインイン認証情報とセキュリティ設定を確認します。これらの手順は、アカウントへの不正アクセスのリスクを軽減するのに役立ちます。
強力で一意のサインイン認証情報を使用する
パスワードを使用する場合は、他のサイトで使い回していない一意のパスワードを使用してください。パスワードの生成と保存には、パスワードマネージャーの使用をおすすめします。パスワードの漏えい、使い回し、共有が疑われる場合は、すぐにパスワードを変更してください。
多要素認証（MFA）を有効にする
サインイン時に別の認証手順を追加するには、多要素認証（MFA）を有効にしてください。詳細については、「多要素認証（MFA）の有効化または無効化」を参照してください。
第三者がパスワードを入手したとしても、アカウントにアクセスするには第2の要素が必要となります。
MFA を有効にしても、既存のログインセッションは無効になりません。不正アクセスの疑いがある場合は、パスワードを設定している場合はパスワードを変更し、MFA を有効にする前にすべてのセッションからログアウトしてください。
ハードウェアによるアカウント保護をご希望で、まだセキュリティキーをお持ちでない場合、対象となる OpenAI ユーザーは OpenAI + Yubico YubiKey バンドルについてご確認ください。詳細については、「OpenAI + Yubico YubiKey バンドル」をご覧ください。
「高度なアカウントセキュリティ」を利用する
対象となる個人向け ChatGPT アカウントでは、「高度なアカウントセキュリティ」により、サインイン要件が強化され、アカウント保護がより厳格になります。詳細については、「高度なアカウントセキュリティ」を参照してください。ChatGPT Enterprise ユーザー、エンタープライズ管理対象アカウント、またはエンタープライズ管理対象ドメインに関連付けられたアカウントではご利用いただけません。
メールやリンクに注意を払ってください
認証情報の入力を求めるメールや、アカウント情報の入力を求める Web ページへ誘導するメールには注意してください。
メールアドレスと URL が信頼できる情報源のものであることを必ず再確認してください。
アカウントのアクティビティを確認し、セッションを管理する
「セキュリティ履歴」には、過去のセキュリティイベントが表示されます。「アクティブなセッション」を使用して、現在のセッションを確認・管理します。
セキュリティ履歴を確認する
セキュリティ履歴には、OpenAI アカウントで最近発生したセキュリティイベントが表示されます。これには、サインイン、サインアウト、パスワードの変更、多要素認証（MFA）、パスキー、その他のセキュリティ設定の変更などが含まれます。
Web でセキュリティ履歴を開くには：
ChatGPT で、「設定」に移動します。
「セキュリティとログイン」を選択します。
「セキュリティ履歴」を選択します。
場所とデバイスの詳細と併せて、イベントの種類と時刻を確認します。一部の詳細は概算であるか、利用できない場合があります。
身に覚えのない、または承認していないアクティビティが確認された場合は、「侵害の疑いへの対応」の手順に従ってください。
すべてのセッションからログアウト
すべてのデバイスのアクティブなセッションからログアウトできます。個別のセッションを確認して管理するには、「ChatGPT のアクティブなセッションを管理する」を参照してください。
ChatGPT の Web 版では：
「設定」に移動します。
「セキュリティとログイン」を選択します。
「アクティブなセッション」を選択します。
「すべてのセッションからログアウト」を見つけます。
「すべてログアウト」を選択します。
確認画面で、「すべてのデバイスからログアウト」を選択します。
これにより、現在のセッションを含むすべてのデバイス上のアクティブなセッションからログアウトされます。他の ChatGPT セッションがログアウトされるまでに最大で30分かかることがあります。
プラットフォームで、「プロフィール」>「セキュリティ」の順に移動し、「すべてのデバイスからログアウト」を選択します。
API キーを保護する
OpenAI API を使用する場合は、API キーをサインイン認証情報と同様に保護してください。API キーが漏えいすると、権限のないユーザーがアカウントを通じて API を不正に使用できるようになり、請求が発生したり、当社の利用規約に違反する活動が行われたりする可能性があります。
環境変数を使用する
開発環境の環境変数に API キーを保存してください。これにより、キーをアプリケーションコードに含めず、情報漏えいのリスクを低減できます。
GitHub Actions を使用している場合は、API キーを保存するために GitHub シークレットを使用してください。
API キーをアプリケーションに含めて公開しないでください。
モバイルアプリなどのアプリケーションに API キーを直接埋め込まないでください。これにより、キーが漏えいしたり悪用されたりするリスクが高まります。
サードパーティ製品の利用には注意してください。
API キーへのアクセスを要求するサードパーティのライブラリ、フレームワーク、またはツールを使用する際は、十分注意してください。製品が信頼できそうに見えても、キーの情報漏えいや悪用のリスクは依然として存在します。
API キーを必要とするサードパーティ製品を使用する前に、その提供元や製品内容を慎重に確認してください。レビューを確認し、プライバシーポリシーを読み、コミュニティでセキュリティ上の懸念が提起されていないかを確認してください。
公開前にコードをレビューする
公開リポジトリにコードをプッシュする前に、API キーなどの機密情報が漏洩していないことを確認するために、コードをレビューしてください。
漏えいの可能性を検出できる自動スキャンツールを活用してください。詳細については、GitHub のシークレットスキャンのチュートリアルもご覧ください。
OpenAI が公開インターネット上やアプリストア内のアプリで API キーの漏えいを検出した場合、その API キーは直ちに無効化されます。
API キーをローテーションする
API キーダッシュボード から古いキーを削除し、新しいキーを作成して、定期的に API キーを更新してください。
API の利用料金と使用量を監視
組織レベルまたはプロジェクトレベルで月次予算に対して複数の支出しきい値（例：90%、95%）を設定し、月間支出を監視します。
メーリングリスト、インシデント管理プラットフォーム、メッセージングプラットフォームと連携するために、カスタムメール受信者を設定します。これはプラットフォーム設定で行えます。
追跡対象の利用額がその金額に達したときに、影響を受ける API リクエストを停止するため、組織またはプロジェクトのハードリミットを適用することもできます。適用は即時ではないため、記録される利用額が上限をわずかに超える場合があります。詳細については、「利用額上限」をご覧ください。
機能、チーム、製品、プロジェクトごとに個別の API キーを使用すると、使用状況を追跡しやすくなります。詳細については、「API キーごとの使用状況の追跡」をご覧ください。
侵害の疑いへの対応
アカウントへの不正アクセスや API キーの漏えいが疑われる場合は、速やかに対応してください。状況に合った手順に従ってください。
不正アクセスが疑われる場合のアカウント保護
パスワードを使用していて、パスワードが漏えいした、使い回された、または共有された可能性がある場合は、すぐに変更してください。
上記の手順を使用して、「すべてのセッションからログアウト」します。
OpenAI API を使用している場合は、API キーを削除し、API の使用状況に予期しないアクティビティがないか確認してください。
セキュリティ履歴を確認し、身に覚えのないアクティビティがないか確かめてください。アカウント復旧に役立つ可能性がある詳細情報を保管してください。
OpenAI サポートにお問い合わせください。
漏えいした API キーを取り消す
API キーが漏えいしたと思われる場合：
影響を受けたキーは API キーダッシュボードから削除してください。
API の使用状況に予期しないアクティビティがないか確認し、詳細を保存してください。
OpenAI サポートにお問い合わせください。
OpenAI サポートへのお問い合わせ
ヘルプセンターの任意のページから新しいチャットを開き、OpenAI サポートにお問い合わせください。実行または承認していないアクティビティの詳細を含めてください。これらの詳細は、アカウント復旧に役立つ場合があります。