1. Pre každého člena tímu vo svojom účte vždy používajte jedinečný kľúč API.

Kľúč API je jedinečný kód, ktorý identifikuje vaše požiadavky odoslané do API. Váš kľúč API je určený len na vaše použitie. Zdieľanie kľúčov API je v rozpore s podmienkami používania.

Keď začnete experimentovať, možno budete chcieť sprístupniť API aj svojmu tímu. OpenAI nepodporuje zdieľanie kľúčov API. Pozvite do svojho účtu nových členov cez stránku Členovia. Po prihlásení rýchlo získajú vlastný jedinečný kľúč. Jednotlivým kľúčom API môžete tiež priradiť oprávnenia.

2. Vytvárajte kľúče API s dátumom skončenia platnosti a zaveďte proces ich pravidelnej výmeny

Kľúče projektu môžete vytvoriť s dátumom skončenia platnosti, po ktorom budú všetky požiadavky využívajúce tieto kľúče odmietnuté. Dôrazne odporúčame vytvárať kľúče s dátumom skončenia platnosti a zaviesť proces ich pravidelnej výmeny. Pred skončením platnosti kľúča vytvorte nový a aktualizujte aplikácie tak, aby ho používali. Keď overíte, že nový kľúč funguje, zrušte platnosť starého. Tieto postupy môžu výrazne zmierniť následky úniku kľúčov API.

Správcovia môžu v nastaveniach platformy vynútiť maximálnu dobu platnosti kľúčov API na úrovni organizácie alebo projektu. Nové kľúče musia mať nastavenú dobu platnosti v rámci povolených limitov, takže nemôžu zostať platné neobmedzene. Limity projektov nesmú prekročiť limit organizácie.

Pri podporovaných pracovných záťažiach používajte federáciu identít pracovných záťaží namiesto ukladania kľúča API OpenAI s dlhou dobou platnosti. Vaša pracovná záťaž si vymení identitu od dôveryhodného poskytovateľa za prístupový token OpenAI s krátkou dobou platnosti. Nastavte vyhradený účet služby len s oprávneniami, ktoré daná pracovná záťaž potrebuje.

3. Nikdy neumiestňujte svoj kľúč do prostredí na strane klienta, ako sú prehliadače alebo mobilné aplikácie.

Ak svoj kľúč API OpenAI sprístupníte v prostrediach na strane klienta, ako sú prehliadače alebo mobilné aplikácie, útočníci ho môžu získať a odosielať požiadavky vo vašom mene. To môže viesť k neočakávaným poplatkom alebo k ohrozeniu niektorých údajov účtu. Požiadavky by mali vždy smerovať cez váš vlastný backendový server, kde môžete svoj kľúč API bezpečne uchovávať.

4. Nikdy neukladajte svoj kľúč do repozitára

Uloženie kľúča API do zdrojového kódu je bežným spôsobom, ako môže dôjsť k ohrozeniu prihlasovacích údajov. Ak používate verejné repozitáre, môžete takto nevedomky zverejniť svoj kľúč na internete. Súkromné repozitáre sú bezpečnejšie, no pri úniku údajov môže dôjsť aj k úniku vašich kľúčov. Preto dôrazne odporúčame používať premenné prostredia ako preventívne opatrenie na ochranu kľúčov.

5. Namiesto priameho použitia kľúča API používajte premenné prostredia

Nastavenie v systéme Windows

Premenná prostredia je premenná nastavená v operačnom systéme, nie priamo v aplikácii. Skladá sa z názvu a hodnoty. Odporúčame nastaviť názov premennej na OPENAI_API_KEY. Ak bude celý tím používať rovnaký názov tejto premennej, môžete ukladať kód do systému správy verzií a zdieľať ho bez rizika odhalenia kľúča API.


Možnosť 1: Nastavte premennú prostredia „OPENAI_API_KEY“ cez príkazový riadok cmd

V príkazovom riadku cmd spustite nasledujúci príkaz, pričom <yourkey> nahraďte svojím kľúčom API:

Zmena sa prejaví v nových oknách príkazového riadka cmd, preto musíte otvoriť nové okno, aby ste mohli túto premennú použiť s curl. Nastavenie tejto premennej môžete overiť tak, že otvoríte nové okno príkazového riadka cmd a zadáte

Možnosť 2: Nastavte premennú prostredia „OPENAI_API_KEY“ cez Ovládací panel

1. Otvorte vlastnosti systému a vyberte Rozšírené systémové nastavenia

1. Vyberte Premenné prostredia...

1. V hornej časti Používateľské premenné vyberte Nová…. Pridajte dvojicu názov/hodnota kľúča a nahraďte <yourkey> svojím kľúčom API.

Nastavenie v systémoch Linux a macOS

Možnosť 1: Nastavte premennú prostredia „OPENAI_API_KEY“ pomocou zsh

1. V termináli spustite nasledujúci príkaz, pričom yourkey nahraďte svojím kľúčom API.

1. Aktualizujte shell novou premennou:

1. Pomocou nasledujúceho príkazu potvrďte, že ste nastavili premennú prostredia.

Výsledným výstupom bude hodnota vášho kľúča API.


Možnosť 2: Nastavte premennú prostredia „OPENAI_API_KEY“ pomocou bash

Postupujte podľa pokynov v možnosti 1 a nahraďte .zshrc za .bash_profile.

Všetko je pripravené! Teraz môžete na kľúč odkazovať v curl alebo ho načítať v Pythone:

6. Používajte službu na správu kľúčov

Na bezpečnú správu tajných kľúčov API je k dispozícii množstvo produktov. Tieto nástroje vám umožňujú riadiť prístup ku kľúčom a zlepšiť celkové zabezpečenie údajov. V prípade úniku údajov z vašej aplikácie by vaše kľúče neboli kompromitované, pretože by boli šifrované a spravované na úplne oddelenom mieste.

Tímom, ktoré nasadzujú svoje aplikácie do produkčnej prevádzky, odporúčame zvážiť niektorú z týchto služieb.

7. Sledujte využitie svojho účtu a podľa potreby vymieňajte kľúče

Nastavte pre svoju organizáciu alebo projekty mesačné limity výdavkov a zapnite ich striktné vynucovanie, aby ste obmedzili neočakávané náklady v prípade úniku kľúča. Samotné upozornenia na výdavky nezastavia prevádzku API. Striktné vynucovanie môže zablokovať aj oprávnené požiadavky. Výdavky môžu mierne prekročiť limit, pretože jeho vynucovanie nie je okamžité.

Kompromitovaný kľúč API umožňuje inej osobe čerpať kvótu vášho účtu bez vášho súhlasu. Môže to viesť k strate údajov, neočakávaným poplatkom, vyčerpaniu mesačnej kvóty a prerušeniu vášho prístupu k API.

Využitie vo vašom tíme môžete sledovať na stránke Využitie. Ak máte podozrenie na zneužitie, svoj účet môžete chrániť niekoľkými krokmi:

• Skontrolujte využitie a overte, či zodpovedá práci vášho tímu. Pri používateľoch, ktorí patria do viacerých organizácií (napr. firemnej a osobnej), sa uistite, že majú zapnuté sledovanie a nastavenú predvolenú organizáciu na využívanie služieb a sledovanie využitia.

• Ak sa domnievate, že váš kľúč unikol, okamžite ho vymeňte na stránke Kľúče API. Ak máte aplikácie v produkčnej prevádzke, budete v nich musieť zodpovedajúcim spôsobom aktualizovať hodnoty kľúčov.

• Ak potrebujete ďalšie prešetrenie, kontaktujte nás cez help.openai.com.

8. Chráňte prístup k API pomocou sieťových pravidiel

Zoznam povolených IP adries vám umožňuje obmedziť, ktoré IP adresy môžu pristupovať k vášmu API OpenAI. Po jeho zapnutí sa povolia iba požiadavky z nastavených IP adries alebo rozsahov. Všetky ostatné sa zamietnu, aj keď obsahujú platný kľúč API.

Pridáva to ďalšiu vrstvu ochrany, pretože k vášmu API bude možné pristupovať iba z dôveryhodnej infraštruktúry, napríklad z vašich backendových serverov alebo cloudového prostredia.

Ďalšie informácie nájdete v článku o zozname povolených IP adries pre API OpenAI.

Ďalšou možnosťou pre organizácie, ktoré potrebujú prístup cez súkromnú sieť, je Private Link. Umožňuje úlohám spusteným v Azure pripájať sa k regionálnym koncovým bodom API OpenAI prostredníctvom služby Azure Private Link. O prístup požiadajte svojho zástupcu OpenAI alebo obchodné oddelenie. Overovanie pri prístupe k API je naďalej potrebné a Private Link nie je kompatibilný so zoznamom povolených IP adries ani so vzájomným overovaním TLS (mTLS). Podrobnosti o nastavení nájdete v príručke k službe Private Link.