1. Utilize sempre uma chave de API única para cada membro da equipa na sua conta.
Uma chave de API é um código único que identifica os seus pedidos à API. A sua chave de API destina-se a ser utilizada por si. A partilha de chaves de API viola os Termos de Utilização.
À medida que começa a experimentar, poderá querer expandir o acesso à API à sua equipa. A OpenAI não suporta a partilha de chaves de API. Convide novos membros para a sua conta a partir da página Membros e estes receberão rapidamente a sua própria chave única ao iniciar sessão. Também pode atribuir permissões a chaves de API individuais.
2. Nunca implemente a sua chave em ambientes do lado do cliente, como browsers ou aplicações móveis.
Expor a sua chave de API da OpenAI em ambientes do lado do cliente, como browsers ou aplicações móveis, permite que utilizadores mal-intencionados obtenham essa chave e façam pedidos em seu nome, o que pode resultar em cobranças inesperadas ou no comprometimento de determinados dados da conta. Os pedidos devem ser sempre encaminhados através do seu próprio servidor de backend, onde pode manter a sua chave de API segura.
3. Nunca faça commit da sua chave no seu repositório
Fazer commit de uma chave de API no código-fonte é um vetor comum de comprometimento de credenciais. Para quem tem repositórios públicos, esta é uma forma comum de partilhar, sem saber, a sua chave com a Internet. Os repositórios privados são mais seguros, mas uma violação de dados também pode resultar na exposição das suas chaves. Por estes motivos, recomendamos vivamente a utilização de variáveis de ambiente como medida proativa de segurança das chaves.
4. Utilize variáveis de ambiente em vez da sua chave de API
Uma variável de ambiente é uma variável definida no seu sistema operativo, em vez de estar definida dentro da sua aplicação. Consiste num nome e num valor. Recomendamos que defina o nome da variável como OPENAI_API_KEY. Ao manter este nome de variável consistente em toda a sua equipa, pode fazer commit e partilhar o seu código sem o risco de expor a sua chave de API.
Configuração no Windows
Opção 1: Defina a variável de ambiente «OPENAI_API_KEY» através do prompt de comando cmd
Execute o seguinte no prompt de comando cmd, substituindo <yourkey> pela sua chave de API:
setx OPENAI_API_KEY "<yourkey>"Isto será aplicado a futuras janelas do prompt de comando cmd, pelo que terá de abrir uma nova para utilizar essa variável com curl. Pode validar que esta variável foi definida abrindo uma nova janela do prompt de comando cmd e escrevendo
echo %OPENAI_API_KEY%Opção 2: Defina a variável de ambiente «OPENAI_API_KEY» através do Painel de Controlo
Abra as propriedades de Sistema e selecione Definições avançadas do sistema
Selecione Variáveis de ambiente...
Selecione Novo… na secção Variáveis de utilizador (superior). Adicione o seu par nome/valor da chave, substituindo <yourkey> pela sua chave de API.
Nome da variável: OPENAI_API_KEY
Valor da variável: <yourkey>Configuração em Linux/macOS
Opção 1: Defina a variável de ambiente «OPENAI_API_KEY» com zsh
Execute o seguinte comando no seu terminal, substituindo yourkey pela sua chave de API.
echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrcAtualize a shell com a nova variável:
source ~/.zshrcConfirme que definiu a sua variável de ambiente com o seguinte comando.
echo $OPENAI_API_KEYO valor da sua chave de API será o resultado apresentado.
Opção 2: Defina a variável de ambiente «OPENAI_API_KEY» com bash
Siga as instruções da Opção 1, substituindo .zshrc por .bash_profile.
Está tudo pronto! Agora pode referenciar a chave no curl ou carregá-la no seu Python:
import os
import openai
openai.api_key = os.environ["OPENAI_API_KEY"]5. Utilize um Serviço de Gestão de Chaves
Existem vários produtos disponíveis para gerir com segurança chaves de API secretas. Estas ferramentas permitem-lhe controlar o acesso às suas chaves e melhorar a segurança geral dos seus dados. Em caso de violação de dados na sua aplicação, a(s) sua(s) chave(s) não seriam comprometidas, pois estariam encriptadas e geridas num local completamente separado.
Para equipas que implementam as suas aplicações em produção, recomendamos que considere um destes serviços.
6. Monitorize a utilização da sua conta e rode as suas chaves quando necessário
Uma chave de API comprometida permite que uma pessoa aceda à quota da sua conta sem o seu consentimento. Isto pode resultar em perda de dados, cobranças inesperadas, esgotamento da sua quota mensal e interrupção do seu acesso à API.
A Utilização das suas equipas pode ser acompanhada através da página Utilização. Se alguma vez tiver preocupações sobre utilização indevida, existem algumas ações que pode tomar para proteger a sua conta:
Reveja a sua utilização para ver se está alinhada com o trabalho da sua equipa. Para utilizadores que pertencem a várias organizações (por exemplo, empresarial e pessoal), certifique-se de que o utilizador ativou o acompanhamento e definiu a organização predefinida para utilização e acompanhamento.
Se acredita que a sua chave foi divulgada, rode-a imediatamente a partir da página Chaves de API. Para clientes com aplicações em produção, terá de atualizar os valores das suas chaves em conformidade.
Contacte-nos através de help.openai.com para uma investigação mais aprofundada.
7. Restrinja o acesso à API com uma lista de permissões de IP
A lista de permissões de IP permite-lhe restringir os endereços IP que podem aceder à sua API da OpenAI. Quando ativada, só são permitidos pedidos de endereços IP ou intervalos configurados, sendo todos os outros rejeitados, mesmo que incluam uma chave de API válida.
Isto adiciona uma camada extra de proteção, garantindo que só é possível aceder à sua API a partir de infraestrutura fidedigna, como os seus servidores de backend ou ambiente cloud.
Para obter mais informações, consulte o artigo sobre listas de permissões de IP para a API da OpenAI.