Chroń klucze API dzięki bezpiecznemu przechowywaniu, kontroli dostępu, monitorowaniu, rotacji i ograniczeniom adresów IP.

1. Zawsze używaj unikalnego klucza API dla każdego członka zespołu na swoim koncie.

Klucz API to unikalny kod, który identyfikuje Twoje żądania do API. Twój klucz API jest przeznaczony do użycia przez Ciebie. Udostępnianie kluczy API jest niezgodne z Warunkami użytkowania.

Gdy zaczniesz eksperymentować, możesz chcieć rozszerzyć dostęp do API na swój zespół. OpenAI nie wspiera udostępniania kluczy API. Zaproś nowych członków do swojego konta ze strony Członkowie, a po zalogowaniu szybko otrzymają własny unikalny klucz. Możesz także przypisywać uprawnienia do poszczególnych kluczy API.

2. Nigdy nie wdrażaj swojego klucza w środowiskach po stronie klienta, takich jak przeglądarki czy aplikacje mobilne.

Ujawnienie klucza OpenAI API w środowiskach po stronie klienta, takich jak przeglądarki czy aplikacje mobilne, umożliwia złośliwym użytkownikom przejęcie tego klucza i wysyłanie żądań w Twoim imieniu — co może prowadzić do nieoczekiwanych opłat lub naruszenia bezpieczeństwa niektórych danych konta. Żądania powinny być zawsze kierowane przez Twój własny serwer backendowy, gdzie możesz bezpiecznie przechowywać klucz API.

3. Nigdy nie zapisuj swojego klucza w repozytorium

Zapisywanie klucza API w kodzie źródłowym to częsta droga do przejęcia danych uwierzytelniających. W przypadku osób korzystających z publicznych repozytoriów jest to częsty sposób na nieświadome udostępnienie klucza w internecie. Prywatne repozytoria są bezpieczniejsze, ale naruszenie ochrony danych również może spowodować wyciek Twoich kluczy. Z tych powodów zdecydowanie zalecamy używanie zmiennych środowiskowych jako proaktywnego środka ochrony kluczy.

4. Używaj zmiennych środowiskowych zamiast klucza API

Zmienna środowiskowa to zmienna ustawiana w systemie operacyjnym, a nie w aplikacji. Składa się z nazwy i wartości. Zalecamy nadanie zmiennej nazwy OPENAI_API_KEY. Używanie tej samej nazwy zmiennej w całym zespole pozwala zatwierdzać i udostępniać kod bez ryzyka ujawnienia klucza API.

Konfiguracja w systemie Windows

Opcja 1: Ustaw zmienną środowiskową „OPENAI_API_KEY” za pomocą wiersza polecenia cmd

Uruchom poniższe polecenie w wierszu polecenia cmd, zastępując <yourkey> swoim kluczem API:

setx OPENAI_API_KEY "<yourkey>"

Zmiana będzie obowiązywać w kolejnych oknach wiersza polecenia cmd, dlatego aby użyć tej zmiennej z curl, musisz otworzyć nowe okno. Aby sprawdzić, czy zmienna została ustawiona, otwórz nowe okno wiersza polecenia cmd i wpisz

echo %OPENAI_API_KEY%

Opcja 2: Ustaw zmienną środowiskową „OPENAI_API_KEY” w Panelu sterowania

Otwórz właściwości Systemu i wybierz Zaawansowane ustawienia systemu

Windows 10 System settings with Advanced system settings highlighted in Control Panel

Wybierz Zmienne środowiskowe...

Windows System Properties Advanced tab with Environment Variables button highlighted

W sekcji Zmienne użytkownika (u góry) wybierz Nowa…. Dodaj parę nazwy i wartości klucza, zastępując <yourkey> swoim kluczem API.

Nazwa zmiennej: OPENAI_API_KEY
Wartość zmiennej: <yourkey>

Konfiguracja w systemie Linux/macOS

Opcja 1: Ustaw zmienną środowiskową „OPENAI_API_KEY” za pomocą zsh

Uruchom poniższe polecenie w terminalu, zastępując yourkey swoim kluczem API.

echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrc

Zaktualizuj powłokę za pomocą nowej zmiennej:

source ~/.zshrc

Potwierdź, że zmienna środowiskowa została ustawiona, używając następującego polecenia.

echo $OPENAI_API_KEY

Wartością Twojego klucza API będzie wynikowe wyjście.

Opcja 2: Ustaw zmienną środowiskową „OPENAI_API_KEY” za pomocą bash

Postępuj zgodnie z instrukcjami z Opcji 1, zastępując .zshrc przez .bash_profile.

Gotowe! Możesz teraz odwoływać się do klucza w curl lub wczytać go w Pythonie:

import os
import openai
 
openai.api_key = os.environ["OPENAI_API_KEY"]

5. Korzystaj z usługi zarządzania kluczami

Dostępnych jest wiele produktów do bezpiecznego zarządzania tajnymi kluczami API. Te narzędzia pozwalają kontrolować dostęp do kluczy i poprawiać ogólne bezpieczeństwo danych. W razie naruszenia ochrony danych w Twojej aplikacji Twój klucz lub klucze nie zostałyby przejęte, ponieważ byłyby szyfrowane i zarządzane w całkowicie oddzielnej lokalizacji.

Zespołom wdrażającym aplikacje do środowiska produkcyjnego zalecamy rozważenie jednej z tych usług.

6. Monitoruj użycie konta i w razie potrzeby wymieniaj klucze

Przejęty klucz API umożliwia innej osobie korzystanie z limitu Twojego konta bez Twojej zgody. Może to spowodować utratę danych, nieoczekiwane opłaty, wyczerpanie miesięcznego limitu oraz przerwę w dostępie do API.

Użycie przez Twoje zespoły można śledzić na stronie Użycie. Jeśli podejrzewasz niewłaściwe użycie, możesz podjąć kilka działań, aby zabezpieczyć konto:

Sprawdź użycie i upewnij się, że odpowiada ono pracy Twojego zespołu. W przypadku użytkowników należących do wielu organizacji (np. służbowej i prywatnej) upewnij się, że użytkownik włączył śledzenie oraz ustawił domyślną organizację na potrzeby użycia i śledzenia.
Jeśli uważasz, że Twój klucz wyciekł, natychmiast wymień go na stronie Klucze API. Jeśli korzystasz z aplikacji w środowisku produkcyjnym, musisz odpowiednio zaktualizować wartości klucza.
Skontaktuj się z nami za pośrednictwem strony help.openai.com, aby umożliwić dalsze zbadanie sprawy.

7. Ogranicz dostęp do API za pomocą listy dozwolonych adresów IP

Lista dozwolonych adresów IP pozwala ograniczyć, które adresy IP mogą uzyskiwać dostęp do OpenAI API. Po włączeniu dozwolone są tylko żądania ze skonfigurowanych adresów IP lub zakresów, a wszystkie pozostałe są odrzucane — nawet jeśli zawierają prawidłowy klucz API.

Dodaje to dodatkową warstwę ochrony, zapewniając, że dostęp do Twojego API jest możliwy tylko z zaufanej infrastruktury, takiej jak serwery backendowe lub środowisko chmurowe.

Więcej informacji znajdziesz w artykule Lista dozwolonych adresów IP dla OpenAI API.

Najlepsze praktyki bezpieczeństwa kluczy API