Обзор

При использовании сервисов OpenAI важно хранить в безопасности как ваш API-ключ, так и вашу учетную запись. Защититесь от утечек API-ключей и захвата учетной записи, следуя этим рекомендациям.

Обеспечьте безопасность вашей учетной записи

Безопасность — это общая ответственность. OpenAI со своей стороны работает над защитой доступа к учетной записи, а вы можете следовать этим инструкциям, чтобы снизить риск несанкционированного использования. Если вам известно, что учетные данные учетной записи используются без разрешения, сообщите о проблеме как можно скорее.

Используйте надежные и уникальные учетные данные для входа

Если вы используете пароль: используйте уникальный пароль, который вы не используете на других сайтах. Рекомендуем использовать менеджер паролей для создания и хранения паролей.

Если вы считаете, что ваш пароль мог быть раскрыт, использован повторно или передан другим лицам, немедленно смените его.

Включите многофакторную аутентификацию (MFA)

Включите многофакторную аутентификацию (MFA), чтобы добавить дополнительный этап проверки при входе. Дополнительные сведения см. в разделе «Включение и отключение многофакторной аутентификации (MFA)».

Даже если кто-то узнает ваш пароль, ему понадобится пройти еще один этап подтверждения личности, чтобы получить доступ к вашей учетной записи.

Включение MFA не завершает уже активные сеансы. Чтобы закрыть доступ к вашей учетной записи для пользователей, которые уже вошли в нее, сначала сбросьте пароль, а затем включите MFA.

Если вам нужна защита учетной записи с аппаратной поддержкой и у вас еще нет ключа безопасности: соответствующие пользователи OpenAI могут получить комплект OpenAI + Yubico YubiKey. Подробнее: OpenAI + Yubico YubiKey.

Использование расширенной безопасности учетной записи

Для соответствующих личных учетных записей ChatGPT доступна функция «Расширенная безопасность учетной записи» (Advanced Account Security), которая добавляет более строгие требования ко входу в систему и усиленные меры защиты учетной записи. Дополнительную информацию см. в разделе «Расширенная безопасность учетной записи». Функция недоступна для пользователей ChatGPT Enterprise, учетных записей, управляемых организацией, а также учетных записей, связанных с доменом, управляемым организацией.

Будьте осторожны с электронными письмами и ссылками

С осторожностью относитесь к электронным письмам, в которых пользователей просят предоставить учетные данные или перейти на веб-страницы, требующие ввода данных учетной записи.

Всегда перепроверяйте адрес электронной почты и URL, чтобы убедиться, что они связаны с надежным источником.

Review account activity and manage sessions

Security history shows past security events. Use Active sessions to review and manage current sessions.

Review your security history

Security history shows recent security events for your OpenAI account. Examples include sign-ins, sign-outs, password changes, and changes to multi-factor authentication (MFA), passkeys, and other security settings.

To open your security history on the web:

1. In ChatGPT, go to Settings.

2. Select Security and login.

3. Select Security history.

Review the event type and time alongside the location and device details. Some details may be approximate or unavailable.

If you see activity you didn’t perform or authorize, follow the steps in Respond to a suspected compromise.

Завершить все сеансы

Вы можете выйти из всех активных сеансов на всех устройствах. Инструкции см. в разделе: «Завершение всех сеансов».

В ChatGPT:

1. Перейдите в настройки.

2. Выберите пункт «Безопасность».

3. Выберите «Активные сеансы».

4. Найдите пункт «Завершить все сеансы».

5. Нажмите «Выйти со всех устройств».

6. В модальном окне подтверждения нажмите «Выйти со всех устройств».

Вы выйдете из системы на всех устройствах и завершите все активные сеансы, включая текущий. Это может занять до 30 минут.

На платформе перейдите в ваш профиль > раздел «Безопасность» и нажмите «Выйти со всех устройств».

Завершение других сеансов ChatGPT может занять до 30 минут.

Protect your API keys

If you use the OpenAI API, protect your API keys as well as your sign-in credentials. An exposed API key can allow unauthorized API usage through your account, which can result in charges or activity that violates our terms of service.

Use environment variables

Store your API key in environment variables within your development environment. This helps keep the key out of application code and reduces the risk of exposure.

If you use GitHub Actions, use GitHub secrets to store your API key.

Не включайте API-ключ в релиз

Может возникнуть соблазн встроить ваш API-ключ непосредственно в приложение, чтобы избежать необходимости запускать сервер для мобильного приложения или аналогичного сценария использования. Однако это делает API-ключ уязвимым для неправомерного использования.

Будьте осторожны при использовании сторонних продуктов

Соблюдайте осторожность при использовании сторонних библиотек, фреймворков или инструментов, которые запрашивают доступ к вашему API-ключу. Даже если продукт кажется надежным, все равно существует риск раскрытия ключа или его неправомерного использования.

Перед использованием стороннего продукта, для которого требуется ваш API-ключ, внимательно изучите компанию и сам продукт. Проверьте отзывы, ознакомьтесь с политикой конфиденциальности и проверьте, не высказывало ли сообщество каких-либо опасений по поводу безопасности.

Review code before publishing

Before pushing code to public repositories, review it to make sure no sensitive information, such as API keys, is exposed.

Use automated scanning tools that can flag potential leaks. You can also review GitHub's secret scanning tutorial for more guidance.

When OpenAI detects an API key on the public internet, or leaked inside an app in an app store, the API key is disabled immediately.

Реализуйте смену ключей

Периодически меняйте свои API-ключи, удаляя старые ключи и создавая новые через панель управления API-ключами.

Monitor API spending and usage

Set multiple spend thresholds, such as 90% and 95%, against a monthly budget at the organization or project level to monitor monthly spend.

Configure custom email recipients to integrate with mailing lists, incident management platforms, and messaging platforms. This can be configured in Platform settings.

You can also enforce an organization or project hard limit to stop affected API requests when tracked spend reaches that amount. Enforcement is not instantaneous, so recorded spend may slightly exceed the limit. For more information, see: Spend limits.

Use separate API keys for each feature, team, product, or project to make usage easier to track. For more information, see: tracking usage by API key.

Реагирование при подозрении на компрометацию

Если вы считаете, что ваш API-ключ был скомпрометирован или подозреваете несанкционированную активность в своей учетной записи, действуйте быстро.

Secure your account after suspected unauthorized access

1. If you use a password and think it was exposed, reused, or shared, change it right away.

2. Log out of all sessions using the instructions above.

3. If you use the OpenAI API, delete your API keys and review your API usage for unexpected activity.

4. Review your security history for unfamiliar activity. Keep details that may help with account recovery.

5. Contact OpenAI Support.

Удалите API-ключи

Удалять API-ключи можно через панель управления API-ключами.

OpenAI также поддерживает отслеживание использования по API-ключу. Это упрощает просмотр данных об использовании по отделам, командам, продуктам или проектам за счет использования отдельных API-ключей для каждого из них.

Свяжитесь со службой поддержки OpenAI

Чем раньше вы сообщите о проблеме, тем быстрее OpenAI сможет помочь решить ее и уменьшить возможный ущерб. Чтобы связаться со службой поддержки OpenAI, откройте новый чат на любой странице Справочного центра.