OpenAI
Denne siden ble maskinoversatt. Se den opprinnelige engelske artikkelen.

Anbefalte fremgangsmåter for sikre API-nøkler

Beskytt API-nøklene dine med sikker lagring, tilgangskontroll, overvåking, nøkkelrotasjon og IP-begrensninger.

Oppdatert: 7 days ago

1. Bruk alltid en unik API-nøkkel for hvert teammedlem på kontoen din.

En API-nøkkel er en unik kode som identifiserer forespørslene dine til API-et. API-nøkkelen din er ment for din egen bruk. Deling av API-nøkler er i strid med Vilkår for bruk.

Når du begynner å eksperimentere, kan det hende du også vil gi teamet ditt tilgang til API-et. OpenAI støtter ikke deling av API-nøkler. Inviter nye medlemmer til kontoen din fra siden Medlemmer, så får de raskt sin egen unike nøkkel når de logger på. Du kan også tildele tillatelser til individuelle API-nøkler.

2. Opprett API-nøkler med utløpsdato, og etabler en rutine for nøkkelrotasjon

Prosjektnøkler kan opprettes med en utløpsdato. Etter denne datoen avvises alle forespørsler som bruker disse nøklene. Vi anbefaler på det sterkeste å opprette nøkler med utløpsdato og etablere en rutine for regelmessig nøkkelrotasjon. Før en nøkkel utløper, må du opprette en ny nøkkel og oppdatere applikasjonene dine til å bruke den. Tilbakekall den gamle nøkkelen når du har bekreftet at den nye fungerer. Disse rutinene kan begrense konsekvensene av lekkede API-nøkler betydelig.

Administratorer kan håndheve en maksimal levetid for API-nøkler på organisasjons- eller prosjektnivå i plattforminnstillingene. Nye nøkler må konfigureres innenfor de tillatte grensene, slik at de ikke forblir gyldige på ubestemt tid. Prosjektgrensene kan ikke overstige organisasjonsgrensen.

For arbeidsbelastninger som støtter det, bør du bruke identitetsføderering for arbeidsbelastninger i stedet for å lagre en OpenAI-API-nøkkel med lang levetid. Arbeidsbelastningen din bytter en identitet fra en betrodd leverandør mot et kortvarig tilgangstoken for OpenAI. Konfigurer en dedikert tjenestekonto med bare de tillatelsene arbeidsbelastningen trenger.

3. Legg aldri nøkkelen din i klientmiljøer som nettlesere eller mobilapper.

Hvis du eksponerer OpenAI-API-nøkkelen din i klientmiljøer som nettlesere eller mobilapper, kan ondsinnede brukere få tak i nøkkelen og sende forespørsler på dine vegne. Dette kan føre til uventede kostnader eller kompromittering av enkelte kontodata. Forespørsler bør alltid rutes gjennom din egen backend-server, der du kan oppbevare API-nøkkelen din sikkert.

4. Aldri legg nøkkelen inn i lageret ditt

Å legge en API-nøkkel inn i kildekoden er en vanlig årsak til at påloggingsopplysninger kommer på avveie. Hvis du har et offentlig lager, er dette en vanlig måte å uforvarende dele nøkkelen din på internett på. Private lagre er sikrere, men et datainnbrudd kan også føre til at nøklene dine lekkes. Derfor anbefaler vi på det sterkeste å bruke miljøvariabler som et forebyggende sikkerhetstiltak for nøklene.

5. Bruk miljøvariabler i stedet for å angi API-nøkkelen direkte

Oppsett for Windows

En miljøvariabel er en variabel som angis i operativsystemet, i stedet for i applikasjonen. Den består av et navn og en verdi. Vi anbefaler at du gir variabelen navnet OPENAI_API_KEY. Ved å bruke det samme variabelnavnet i hele teamet kan dere sjekke inn og dele kode uten å risikere å eksponere API-nøkkelen.


Alternativ 1: Angi miljøvariabelen «OPENAI_API_KEY» via ledeteksten (cmd)

Kjør følgende i ledeteksten, og erstatt <yourkey> med API-nøkkelen din:

setx OPENAI_API_KEY "<yourkey>"

Dette gjelder for fremtidige cmd-vinduer, så du må åpne et nytt vindu for å bruke variabelen med curl. Du kan kontrollere at variabelen er angitt, ved å åpne et nytt cmd-vindu og skrive inn

echo %OPENAI_API_KEY%

Alternativ 2: Angi miljøvariabelen «OPENAI_API_KEY» via Kontrollpanel

  1. Åpne egenskapene for System og velg Avanserte systeminnstillinger

Windows 10 System settings with Advanced system settings highlighted in Control Panel

  1. Velg Miljøvariabler...

Windows System Properties Advanced tab with Environment Variables button highlighted

  1. Velg Ny… i delen Brukervariabler (øverst). Legg til navnet og nøkkelverdien, og erstatt <yourkey> med API-nøkkelen din.

Variabelnavn: OPENAI_API_KEY
Variabelverdi: <yourkey>

Oppsett for Linux og macOS

Alternativ 1: Angi miljøvariabelen «OPENAI_API_KEY» med zsh

  1. Kjør følgende kommando i terminalen, og erstatt yourkey med API-nøkkelen din.

echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrc

  1. Oppdater skallet med den nye variabelen:

source ~/.zshrc

  1. Bekreft at du har angitt miljøvariabelen med følgende kommando.

echo $OPENAI_API_KEY

Verdien til API-nøkkelen din blir utdataene.


Alternativ 2: Angi miljøvariabelen «OPENAI_API_KEY» med bash

Følg instruksjonene i alternativ 1, men erstatt .zshrc med .bash_profile.

Da er alt klart! Nå kan du referere til nøkkelen i curl eller laste den inn i Python:

import os
import openai
 
openai.api_key = os.environ["OPENAI_API_KEY"]

6. Bruk en tjeneste for nøkkelhåndtering

Det finnes en rekke produkter for sikker håndtering av hemmelige API-nøkler. Disse verktøyene lar deg kontrollere tilgangen til nøklene dine og styrke den generelle datasikkerheten. Ved et datainnbrudd i applikasjonen din vil nøklene dine ikke bli kompromittert, ettersom de er kryptert og håndteres på et helt separat sted.

Vi anbefaler at team som setter applikasjonene sine i produksjon, vurderer en av disse tjenestene.

7. Overvåk bruken av kontoen din og bytt ut nøklene ved behov

Angi månedlige forbruksgrenser for organisasjonen eller prosjektene dine, og aktiver streng håndheving for å begrense uventede kostnader ved en nøkkellekkasje. Forbruksvarsler alene stopper ikke API-trafikken. Streng håndheving kan blokkere legitime forespørsler, og forbruket kan overstige grensen noe fordi håndhevingen ikke skjer umiddelbart.

En kompromittert API-nøkkel gir uvedkommende tilgang til kontokvoten din uten ditt samtykke. Dette kan føre til tap av data, uventede kostnader, oppbrukt månedskvote og avbrudd i API-tilgangen din.

Du kan følge med på teamenes bruk på siden Bruk. Hvis du er bekymret for misbruk, kan du gjøre følgende for å beskytte kontoen din:

  • Gå gjennom bruken for å se om den samsvarer med teamets arbeid. For brukere som tilhører flere organisasjoner (f.eks. en jobbrelatert og en personlig), må du sørge for at brukeren har aktivert sporing og angitt standardorganisasjonen for bruk og sporing.

  • Hvis du tror at nøkkelen din har lekket, må du umiddelbart bytte den ut på siden API-nøkler. Hvis du har applikasjoner i produksjon, må du oppdatere nøkkelverdiene i disse tilsvarende.

  • Kontakt oss via help.openai.com for videre undersøkelser.

8. Beskytt API-tilgangen med nettverkskontroller

Med en IP-tillatelsesliste kan du begrense hvilke IP-adresser som får tilgang til OpenAI-API-et ditt. Når funksjonen er aktivert, tillates bare forespørsler fra konfigurerte IP-adresser eller adresseområder. Alle andre avvises – selv om de inneholder en gyldig API-nøkkel.

Dette gir et ekstra lag med beskyttelse ved å sikre at API-et ditt bare kan nås fra betrodd infrastruktur, for eksempel backend-serverne dine eller skymiljøet ditt.

Du finner mer informasjon i artikkelen om IP-tillatelseslister for OpenAI-API-et.

Private Link er et annet alternativ for organisasjoner som trenger privat nettverkstilgang. Det lar Azure-arbeidsbelastninger koble seg til regionale OpenAI-API-endepunkter via Azure Private Link. Kontakt OpenAI-representanten din eller salgsavdelingen for å be om tilgang. API-autentisering er fortsatt påkrevd, og Private Link er ikke kompatibelt med IP-tillatelseslister eller gjensidig TLS (mTLS). Du finner detaljer om oppsettet i veiledningen for Private Link.

Var denne artikkelen nyttig?