OpenAI
หน้านี้แปลด้วยระบบอัตโนมัติ ดูต้นฉบับภาษาอังกฤษ.

แนวทางปฏิบัติที่ดีที่สุดสำหรับความปลอดภัยของ API Key

ปกป้องคีย์ API ของคุณด้วยการจัดเก็บที่ปลอดภัย การควบคุมสิทธิ์เข้าถึง การเฝ้าติดตาม การเปลี่ยนคีย์เป็นระยะ และการจำกัดตามที่อยู่ IP

อัปเดตล่าสุด: 19 days ago

1. ใช้คีย์ API ที่ไม่ซ้ำกันสำหรับสมาชิกทีมแต่ละคนในบัญชีของคุณเสมอ

คีย์ API คือรหัสเฉพาะที่ระบุคำขอของคุณไปยัง API คีย์ API ของคุณมีไว้ให้คุณใช้งาน การแชร์คีย์ API ขัดต่อข้อตกลงการใช้งาน

เมื่อคุณเริ่มทดลองใช้งาน คุณอาจต้องการขยายการเข้าถึง API ให้กับทีมของคุณ OpenAI ไม่รองรับการแชร์คีย์ API โปรดเชิญสมาชิกใหม่เข้าสู่บัญชีของคุณจากหน้า สมาชิก และพวกเขาจะได้รับคีย์เฉพาะของตนอย่างรวดเร็วเมื่อลงชื่อเข้าใช้ คุณยังสามารถกำหนดสิทธิ์ให้กับคีย์ API แต่ละรายการได้ด้วย

2. สร้างคีย์ API ที่มีวันหมดอายุและกำหนดกระบวนการเปลี่ยนคีย์

คุณสามารถสร้างคีย์โปรเจกต์โดยกำหนดวันหมดอายุได้ เมื่อพ้นวันดังกล่าว ระบบจะปฏิเสธคำขอทั้งหมดที่ใช้คีย์เหล่านั้น เราขอแนะนำอย่างยิ่งให้สร้างคีย์ที่มีวันหมดอายุและกำหนดกระบวนการเปลี่ยนคีย์อย่างสม่ำเสมอ ก่อนคีย์หมดอายุ ให้สร้างคีย์ใหม่มาทดแทน อัปเดตแอปพลิเคชันให้ใช้คีย์ใหม่ และเพิกถอนคีย์เก่าเมื่อคุณตรวจสอบแล้วว่าคีย์ใหม่ใช้งานได้ แนวทางเหล่านี้ช่วยลดผลกระทบจากการรั่วไหลของคีย์ API ได้อย่างมาก

ผู้ดูแลระบบสามารถบังคับใช้อายุการใช้งานสูงสุดของคีย์ API ในระดับองค์กรหรือโปรเจกต์ได้ที่การตั้งค่าแพลตฟอร์ม คีย์ใหม่ต้องกำหนดอายุการใช้งานภายในขีดจำกัดที่อนุญาต เพื่อป้องกันไม่ให้คีย์ใช้งานได้โดยไม่มีกำหนดสิ้นสุด ขีดจำกัดของโปรเจกต์ต้องไม่เกินขีดจำกัดขององค์กร

สำหรับเวิร์กโหลดที่รองรับ ให้ใช้การยืนยันตัวตนเวิร์กโหลดแบบสหพันธ์แทนการจัดเก็บคีย์ OpenAI API ที่มีอายุการใช้งานยาวนาน เวิร์กโหลดของคุณจะใช้ข้อมูลยืนยันตัวตนจากผู้ให้บริการที่เชื่อถือได้เพื่อแลกรับโทเค็นสำหรับเข้าถึง OpenAI ที่มีอายุการใช้งานสั้น ตั้งค่าบัญชีบริการเฉพาะ โดยให้สิทธิ์เฉพาะที่เวิร์กโหลดจำเป็นต้องใช้เท่านั้น

3. ห้ามใส่คีย์ไว้ในสภาพแวดล้อมฝั่งไคลเอนต์ เช่น เบราว์เซอร์หรือแอปมือถือ

การเปิดเผยคีย์ OpenAI API ในสภาพแวดล้อมฝั่งไคลเอนต์ เช่น เบราว์เซอร์หรือแอปมือถือ ทำให้ผู้ไม่ประสงค์ดีนำคีย์นั้นไปส่งคำขอในนามของคุณได้ ซึ่งอาจทำให้เกิดค่าใช้จ่ายที่ไม่คาดคิดหรือทำให้ข้อมูลบางส่วนในบัญชีถูกเข้าถึงโดยไม่ได้รับอนุญาต ควรส่งคำขอผ่านเซิร์ฟเวอร์แบ็กเอนด์ของคุณเองเสมอ เพื่อให้คุณเก็บรักษาคีย์ API ได้อย่างปลอดภัย

4. อย่าคอมมิตคีย์ไปยัง Repository ของคุณ

การคอมมิตคีย์ API ลงในซอร์สโค้ดเป็นช่องทางที่พบบ่อยซึ่งทำให้ข้อมูลเข้าสู่ระบบรั่วไหล หากใช้ Repository สาธารณะ นี่เป็นวิธีที่พบบ่อยซึ่งอาจทำให้คุณเผยแพร่คีย์บนอินเทอร์เน็ตโดยไม่รู้ตัว Repository ส่วนตัวปลอดภัยกว่า แต่หากเกิดการละเมิดข้อมูล คีย์ของคุณก็อาจรั่วไหลได้เช่นกัน ด้วยเหตุนี้ เราจึงขอแนะนำอย่างยิ่งให้ใช้ตัวแปรสภาพแวดล้อมเป็นมาตรการเชิงรุกในการรักษาความปลอดภัยของคีย์

5. ใช้ตัวแปรสภาพแวดล้อมแทนคีย์ API

ตัวแปรสภาพแวดล้อมคือตัวแปรที่กำหนดไว้ในระบบปฏิบัติการ ไม่ใช่ภายในแอปพลิเคชัน ตัวแปรนี้ประกอบด้วยชื่อและค่า เราขอแนะนำให้ตั้งชื่อตัวแปรเป็น OPENAI_API_KEY การใช้ชื่อตัวแปรนี้ให้เหมือนกันทั้งทีมช่วยให้คุณคอมมิตและแชร์โค้ดได้โดยไม่เสี่ยงเปิดเผยคีย์ API


การตั้งค่าบน Windows

ตัวเลือกที่ 1: ตั้งค่าตัวแปรสภาพแวดล้อม ‘OPENAI_API_KEY’ ผ่านพรอมต์คำสั่ง cmd

เรียกใช้คำสั่งต่อไปนี้ในพรอมต์คำสั่ง cmd โดยแทนที่ <yourkey> ด้วยคีย์ API ของคุณ:

setx OPENAI_API_KEY "<yourkey>"

การตั้งค่านี้จะมีผลกับหน้าต่างพรอมต์คำสั่ง cmd ที่เปิดหลังจากนี้ ดังนั้นคุณต้องเปิดหน้าต่างใหม่เพื่อใช้ตัวแปรดังกล่าวกับ curl คุณตรวจสอบว่าตั้งค่าตัวแปรนี้แล้วได้โดยเปิดหน้าต่างพรอมต์คำสั่ง cmd ใหม่ แล้วพิมพ์

echo %OPENAI_API_KEY%

ตัวเลือกที่ 2: ตั้งค่าตัวแปรสภาพแวดล้อม ‘OPENAI_API_KEY’ ผ่านแผงควบคุม

  1. เปิดคุณสมบัติ ระบบ แล้วเลือก การตั้งค่าระบบขั้นสูง

Windows 10 System settings with Advanced system settings highlighted in Control Panel

  1. เลือก ตัวแปรสภาพแวดล้อม...

Windows System Properties Advanced tab with Environment Variables button highlighted

  1. เลือก ใหม่… ในส่วนตัวแปรผู้ใช้ (ด้านบน) เพิ่มคู่ชื่อและค่าคีย์ โดยแทนที่ <yourkey> ด้วยคีย์ API ของคุณ

ชื่อตัวแปร: OPENAI_API_KEY
ค่าตัวแปร: <yourkey>

การตั้งค่าบน Linux / macOS

ตัวเลือกที่ 1: ตั้งค่าตัวแปรสภาพแวดล้อม ‘OPENAI_API_KEY’ โดยใช้ zsh

  1. เรียกใช้คำสั่งต่อไปนี้ในเทอร์มินัล โดยแทนที่ yourkey ด้วยคีย์ API ของคุณ

echo "export OPENAI_API_KEY='yourkey'" >> ~/.zshrc

  1. อัปเดตเชลล์ด้วยตัวแปรใหม่:

source ~/.zshrc

  1. ยืนยันว่าคุณได้ตั้งค่าตัวแปรสภาพแวดล้อมแล้วโดยใช้คำสั่งต่อไปนี้

echo $OPENAI_API_KEY

ค่าของคีย์ API ของคุณจะเป็นเอาต์พุตที่ได้


ตัวเลือกที่ 2: ตั้งค่าตัวแปรสภาพแวดล้อม ‘OPENAI_API_KEY’ โดยใช้ bash

ทำตามคำแนะนำในตัวเลือกที่ 1 โดยแทนที่ .zshrc ด้วย .bash_profile

เรียบร้อยแล้ว! ตอนนี้คุณสามารถอ้างอิงคีย์ใน curl หรือโหลดใน Python ของคุณได้แล้ว:

import os
import openai
 
openai.api_key = os.environ["OPENAI_API_KEY"]

6. ใช้บริการจัดการคีย์

มีผลิตภัณฑ์หลากหลายสำหรับจัดการคีย์ API ลับอย่างปลอดภัย เครื่องมือเหล่านี้ช่วยให้คุณควบคุมการเข้าถึงคีย์และยกระดับความปลอดภัยของข้อมูลโดยรวม หากแอปพลิเคชันถูกละเมิดข้อมูล คีย์ของคุณจะไม่รั่วไหล เนื่องจากคีย์ได้รับการเข้ารหัสและจัดการในตำแหน่งที่แยกออกจากกันโดยสิ้นเชิง

สำหรับทีมที่นำแอปพลิเคชันไปใช้งานจริง เราขอแนะนำให้พิจารณาเลือกใช้บริการเหล่านี้

7. ติดตามการใช้งานบัญชีของคุณและเปลี่ยนคีย์เมื่อจำเป็น

กำหนดวงเงินใช้จ่ายรายเดือนสำหรับองค์กรหรือโปรเจกต์ของคุณ และเปิดการบังคับใช้วงเงินอย่างเคร่งครัดเพื่อช่วยจำกัดค่าใช้จ่ายที่ไม่คาดคิดจากคีย์ที่รั่วไหล การแจ้งเตือนค่าใช้จ่ายเพียงอย่างเดียวไม่ได้หยุดการเรียกใช้ API การบังคับใช้วงเงินอย่างเคร่งครัดอาจบล็อกคำขอที่ถูกต้องด้วย และค่าใช้จ่ายอาจเกินวงเงินเล็กน้อย เนื่องจากการบังคับใช้ไม่ได้มีผลทันที

คีย์ API ที่ถูกขโมยหรือรั่วไหลทำให้ผู้อื่นใช้โควตาในบัญชีของคุณได้โดยไม่ได้รับความยินยอมจากคุณ เหตุการณ์นี้อาจทำให้ข้อมูลสูญหาย เกิดค่าใช้จ่ายที่ไม่คาดคิด โควตารายเดือนหมดลง และการเข้าถึง API ของคุณหยุดชะงัก

คุณสามารถติดตามการใช้งานของทีมได้ที่หน้าการใช้งาน หากคุณกังวลว่าอาจมีการใช้งานโดยมิชอบ คุณสามารถดำเนินการต่อไปนี้เพื่อปกป้องบัญชีได้:

  • ตรวจสอบการใช้งานว่าสอดคล้องกับงานของทีมคุณหรือไม่ สำหรับผู้ใช้ที่เป็นสมาชิกหลายองค์กร (เช่น องค์กรของบริษัทและองค์กรส่วนตัว) ให้ตรวจสอบว่าผู้ใช้เปิดการติดตามและกำหนดองค์กรเริ่มต้นสำหรับการใช้งานและการติดตามแล้ว

  • หากคุณเชื่อว่าคีย์ของคุณรั่วไหล ให้เปลี่ยนคีย์ทันทีที่หน้าคีย์ API สำหรับลูกค้าที่มีแอปพลิเคชันใช้งานจริงอยู่ คุณจะต้องอัปเดตค่าคีย์ในแอปพลิเคชันให้ตรงกับคีย์ใหม่ด้วย

  • ติดต่อเราผ่าน help.openai.com เพื่อตรวจสอบเพิ่มเติม

8. ปกป้องการเข้าถึง API ด้วยการควบคุมเครือข่าย

การกำหนดรายการ IP ที่อนุญาตช่วยให้คุณจำกัดได้ว่าที่อยู่ IP ใดบ้างที่เข้าถึง OpenAI API ของคุณได้ เมื่อเปิดใช้งาน ระบบจะอนุญาตเฉพาะคำขอจากที่อยู่หรือช่วง IP ที่กำหนดไว้ และปฏิเสธคำขออื่นทั้งหมด แม้จะใช้คีย์ API ที่ถูกต้องก็ตาม

วิธีนี้เพิ่มการป้องกันอีกชั้น โดยทำให้มั่นใจว่าจะเข้าถึง API ของคุณได้จากโครงสร้างพื้นฐานที่เชื่อถือได้เท่านั้น เช่น เซิร์ฟเวอร์แบ็กเอนด์หรือสภาพแวดล้อมคลาวด์ของคุณ

ดูข้อมูลเพิ่มเติมได้ในบทความเรื่องการกำหนดรายการ IP ที่อนุญาตสำหรับ OpenAI API

Private Link เป็นอีกทางเลือกสำหรับองค์กรที่ต้องการเข้าถึงผ่านเครือข่ายส่วนตัว บริการนี้ช่วยให้เวิร์กโหลดบน Azure เชื่อมต่อกับเอนด์พอยต์ OpenAI API ประจำภูมิภาคผ่าน Azure Private Link ได้ ติดต่อตัวแทน OpenAI ของคุณหรือฝ่ายขายเพื่อขอสิทธิ์เข้าถึง ยังคงต้องยืนยันตัวตนเพื่อใช้ API และ Private Link ไม่สามารถใช้ร่วมกับการกำหนดรายการ IP ที่อนุญาตหรือ mutual TLS (mTLS) ได้ ดูรายละเอียดการตั้งค่าได้ในคู่มือ Private Link

บทความนี้มีประโยชน์หรือไม่