OpenAI v současné době neposkytuje vestavěnou funkci pro omezení přístupu k klíči API přímo na konkrétní IP adresy nebo domény. To znamená, že v rámci samotné platformy OpenAI není možné nakonfigurovat klíče API tak, aby přijímaly pouze požadavky pocházející z určitých IP nebo webových domén.
Oficiální postoj k omezením IP a domény
Klíčové systémové funkce OpenAi Funguje vydáním klíčů, které jsou tokeny nositelů poskytující přístup k API. Tyto klíče mají být udržovány v tajnosti a používány bezpečně, ale neexistuje žádná přímá metoda pro whitelisty IP adresy nebo domény pro klíčové použití. Klíčová ověření API nativně nepodporuje omezení domény ani vydávání tokenů na základě identity klienta nebo umístění sítě. To omezuje přímou kontrolu nad tím, které původ nebo servery mohou podávat žádosti pomocí klíče API, takže klíč API je účinně platný z jakékoli IP nebo domény, kde má někdo klíč.
Společné postupy a doporučení k zajištění použití klíčového využití API
Protože OpenAI nenabízí omezení IP nebo domény na klících API, vývojáři obvykle používají architektonické a operační strategie k zajištění jejich klíčů API a omezení jejich použití:
- Použijte proxy serveru backend: Místo volání API OpenAI přímo z aplikací na straně klienta (jako jsou prohlížeče), nasměrujte všechny požadavky API prostřednictvím backendového serveru, který ovládáte. To vám umožní:
- Omezte využití klíče API na váš vlastní backend.
- Udržujte klíč API v tajnosti a mimo stranu klienta.
- Implementujte ovládací prvky přístupu na straně serveru, jako je IP Whitelisting na vašem vlastním backendu.
- Přihlaste se a monitorujte použití a detekujte zneužívání.
- Otočení a monitorování klíče API: Pravidelně otáčejte klíče API a monitorujte vzorce využití. Pokud jsou detekovány neobvyklá aktivita nebo úniky, okamžitě zrušte kompromitované klíče a vytvořte nové.
- Omezení sazby a žádost o škrcení: Aplikujte limity sazeb na váš backend a omezí počet požadavků, které může jeden uživatel nebo IP v daném časovém okně provést. To pomáhá zmírnit zneužívání, pokud klíč prosakuje nebo se používá nezamýšleným způsobem.
- Použijte ověřování a autorizaci ve vaší aplikaci: Implementujte ověřování uživatelů ve vaší aplikaci, aby pouze oprávnění uživatelé mohli podávat požadavky API. To přidává vrstvu ovládání mimo samotný klíč API.
- Proxy Servery nebo hostitelé bastionů: Někteří vývojáři nastavují zabezpečené bastiční sítě nebo servery proxy API, které působí jako zprostředkovatele mezi svými klienty a OpenAI API. Přidávají další řídicí vrstvu včetně IP filtrování před předáváním požadavků pomocí klíče API.
Zpětná vazba komunity a známá omezení
- Několik diskusí na komunitních fórech OpenAI potvrzuje, že neexistuje žádná současná podpora pro IP Whitelisting nebo doménové omezení pro klíče OpenAI API přímo z OpenAI. Krátká odpověď z oficiálních a komunitních odpovědí je „ne“, když se zeptáte, zda můžete omezit klíč API na konkrétní IP adresy nebo domény.
- Někteří uživatelé implementovali své vlastní proxy vrstvy nebo backendové služby k prosazování IP whitelistů a limitů sazeb, ale to je mimo správu nativních klíčů OpenAI nativního API.
- Problémy s zneužíváním klíčů API často nastávají, když je klíč vystaven v kódu na straně klienta nebo ve veřejně přístupném prostředí. Obecnou radou je zabránit vystavení klíčových ovládacích prvků na straně klienta a použít ovládací prvky na straně serveru.
- OpenAI poskytuje některé řízení oprávnění umožňující kontrolu nad tím, které modely mají klíč přistupovat k limitům využití nebo stanovit limity využití, ale tyto se nevztahují na omezení sítě nebo původu.
Potenciální budoucí vývoj
OpenAI má plány nebo návrhy diskutované ve zpětné vazbě komunity o přidání více granulární kontroly do klíčů API, včetně možných omezení domény nebo vazebných klíčů k konkrétním aplikacím nebo službám, ale nyní tyto funkce nejsou implementovány.
Alternativní přístupy k zajištění využití API
- IP povolení seznamu prostřednictvím infrastruktury: Pokud chcete omezit, kdo může zavolat na vaši backendovou službu, která volá OpenAI, nastavte IP povolené listiny na vaši vlastní infrastrukturu nebo firewall poskytovatele cloudu (např. Schválit pouze hovory z určitých IP na váš backend).
-Krátkodobé žetony prostřednictvím vlastní autentizace: Implementujte svůj vlastní token server, který vydává svým klientům krátkodobé, rozsazené žetony, a poté váš backend tyto žetony ověřuje před voláními OpenAI API. Tímto způsobem ovládáte přístup klientů na granulární úrovni.
- Správa klíčů API specifického pro klienta: Vytvářejte více klíčů API pro různé klienty nebo služby ve vaší organizaci, takže pokud dojde ke kompromisu, můžete rychle zrušit jednotlivé klíče, čímž se sníží poloměr výbuchu.
Příklad zajištění s omezením proxy a IP (koncepční)
1. klientské aplikace Posílají své požadavky na server backend.
2. Backend Server ověřuje klienty (na základě IP, tokenů, přihlášení uživatele atd.).
3. backend server volá API OpenAI API s klíčem API (nikdy jej nevystavuje klientům).
4. Backend Server vynucuje limity sazeb, využití protokolů a monitory pro zneužívání.
5. Volitelně, backendová infrastruktura (brány firewall, vyvažovače zátěže) omezují, které se IP mohou připojit k vašemu backendu.
Manipulace s potenciálním únikem klíčů
Pokud je klíč uniká:
- Okamžitě smažte nebo deaktivujte kompromitovaný klíč z řídicího panelu OpenAI.
- Vydejte nový klíč a aktualizujte svůj backend, abyste jej používali.
- Prozkoumejte, jak klíč unikl a posiloval ovládací prvky (např. Nikdy vložte klíče do front-end kódu).
Shrnutí
- OpenAI nepodporuje omezení využití klíče API pomocí IP adresy nebo domény přímo.
- Zajistěte svůj klíč tak, že jej ponecháte na serveru backend a nevystavujete jej klientům.
- implementovat ovládací prvky na úrovni sítě na vašem backendu nebo proxy infrastruktuře.
- Pro snížení zneužívání použijte ověření na úrovni aplikací a omezení sazeb.
- Otočte a monitorujte klíče pravidelně.
- Pro další bezpečnostní vrstvy použijte proxy servery nebo bastionskou architekturu.
- Zůstaňte informováni o oznámeních OpenAI pro všechny nadcházející funkce klíčových omezení.
Tento přístup zajišťuje nejlepší praktické zabezpečení, které je v současné době možné u klíčů OpenAI API, navzdory nedostatku nativních omezení IP nebo domény. Klíčovým zaměřením je na architektonickou bezpečnost, operační postupy a správu klíčů.
Tyto body pokrývají stav techniky při kontrole klíčového přístupu OpenAI API s ohledem na IPS a domény na základě nejnovější zpětné vazby komunity a oficiálních informací od roku 2025.