1. Använd alltid en unik API-nyckel för varje teammedlem på ditt konto.

En API-nyckel är en unik kod som identifierar dina förfrågningar till API:t. Din API-nyckel är avsedd att användas av dig. Delning av API-nycklar strider mot Användarvillkoren.

När du börjar experimentera kanske du vill utöka API-åtkomsten till ditt team. OpenAI stöder inte delning av API-nycklar. Bjud in nya medlemmar till ditt konto från sidan Medlemmar så får de snabbt sin egen unika nyckel vid inloggning. Du kan även tilldela behörigheter till enskilda API-nycklar.

2. Distribuera aldrig din nyckel i klientmiljöer som webbläsare eller mobilappar.

Om du exponerar din OpenAI API-nyckel i klientmiljöer som webbläsare eller mobilappar kan illasinnade användare ta nyckeln och göra förfrågningar för din räkning – vilket kan leda till oväntade kostnader eller att vissa kontodata äventyras. Förfrågningar ska alltid dirigeras via din egen backend-server där du kan hålla din API-nyckel säker.

3. Checka aldrig in din nyckel i ditt förvar

Att checka in en API-nyckel i källkod är ett vanligt sätt som inloggningsuppgifter äventyras på. För dem som har offentliga förvar är detta ett vanligt sätt att omedvetet dela sin nyckel med internet. Privata förvar är säkrare, men ett dataintrång kan också leda till att dina nycklar läcks. Av dessa skäl rekommenderar vi starkt att du använder miljövariabler som en proaktiv säkerhetsåtgärd för nycklar.

4. Använd miljövariabler i stället för din API-nyckel

En miljövariabel är en variabel som anges i ditt operativsystem, i stället för i din applikation. Den består av ett namn och ett värde. Vi rekommenderar att du anger variabelns namn till OPENAI_API_KEY. Genom att hålla detta variabelnamn konsekvent i hela teamet kan du checka in och dela din kod utan risk att exponera din API-nyckel.

Konfiguration för Windows

Alternativ 1: Ange din miljövariabel ”OPENAI_API_KEY” via cmd-prompten

Kör följande i cmd-prompten och ersätt <yourkey> med din API-nyckel:

setx OPENAI_API_KEY "<yourkey>"

Detta gäller framtida cmd-promptfönster, så du behöver öppna ett nytt för att använda variabeln med curl. Du kan verifiera att variabeln har angetts genom att öppna ett nytt cmd-promptfönster och skriva

echo %OPENAI_API_KEY%

Alternativ 2: Ange din miljövariabel ”OPENAI_API_KEY” via Kontrollpanelen

Öppna egenskaperna för System och välj Avancerade systeminställningar

Windows 10 System settings with Advanced system settings highlighted in Control Panel

Välj Miljövariabler...

Windows System Properties Advanced tab with Environment Variables button highlighted

Välj Nytt… i avsnittet Användarvariabler (överst). Lägg till ditt namn/nyckel-värdepar och ersätt <yourkey> med din API-nyckel.

Variabelnamn: OPENAI_API_KEY
Variabelvärde: <yourkey>

Konfiguration för Linux/MacOS

Alternativ 1: Ange din miljövariabel ”OPENAI_API_KEY” med zsh

Kör följande kommando i din terminal och ersätt yourkey med din API-nyckel.

echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrc

Uppdatera skalet med den nya variabeln:

source ~/.zshrc

Bekräfta att du har angett din miljövariabel med följande kommando.

echo $OPENAI_API_KEY

Värdet för din API-nyckel blir den resulterande utdata.

Alternativ 2: Ange din miljövariabel ”OPENAI_API_KEY” med bash

Följ anvisningarna i alternativ 1, men ersätt .zshrc med .bash_profile.

Nu är allt klart! Du kan nu referera till nyckeln i curl eller läsa in den i din Python-kod:

import os
import openai
 
openai.api_key = os.environ["OPENAI_API_KEY"]

5. Använd en nyckelhanteringstjänst

Det finns en rad produkter för säker hantering av hemliga API-nycklar. Med dessa verktyg kan du kontrollera åtkomsten till dina nycklar och förbättra din övergripande datasäkerhet. Vid ett dataintrång i din applikation skulle dina nycklar inte äventyras, eftersom de skulle vara krypterade och hanterade på en helt separat plats.

För team som distribuerar sina applikationer i produktion rekommenderar vi att ni överväger en av dessa tjänster.

6. Övervaka din kontoanvändning och rotera dina nycklar vid behov

En äventyrad API-nyckel gör att en person kan få åtkomst till din kontokvot utan ditt medgivande. Detta kan leda till dataförlust, oväntade kostnader, att din månadskvot förbrukas och avbrott i din API-åtkomst.

Teamets användning kan spåras via sidan Användning. Om du någon gång oroar dig för missbruk finns det några åtgärder du kan vidta för att skydda ditt konto:

Granska din användning för att se om den överensstämmer med teamets arbete. För användare som tillhör flera organisationer (t.ex. företags- och personliga organisationer), se till att användaren har aktiverat spårning och angett sin standardorganisation för användning och spårning.
Om du tror att din nyckel har läckt ska du omedelbart rotera din nyckel från sidan API-nycklar. För kunder med applikationer i produktion behöver du uppdatera dina nyckelvärden på motsvarande sätt.
Kontakta oss via help.openai.com för vidare utredning.

7. Begränsa API-åtkomst med IP-tillåtelselista

IP-tillåtelselistor gör att du kan begränsa vilka IP-adresser som kan komma åt ditt OpenAI API. När detta är aktiverat tillåts endast förfrågningar från konfigurerade IP-adresser eller intervall, och alla andra avvisas – även om de innehåller en giltig API-nyckel.

Detta lägger till ett extra skyddslager genom att säkerställa att ditt API endast kan nås från betrodd infrastruktur, till exempel dina backend-servrar eller din molnmiljö.

Mer information finns i artikeln IP-tillåtelselista för OpenAI API.

Bästa praxis för API-nyckelsäkerhet