Dựa trên kết quả tìm kiếm, đây là những điểm chính khi sử dụng khóa API OpenAI với máy chủ mã thông báo để bảo mật tốt hơn:
Mối quan tâm bảo mật chính xung quanh khóa API OpenAI là nếu khóa bị lộ, bất kỳ ai cũng có thể sử dụng nó để truy cập vào tài khoản OpenAI của bạn và phải chịu phí. Để giảm thiểu rủi ro này, kết quả tìm kiếm đề xuất một số phương pháp:
1. Sử dụng các biến môi trường hoặc dịch vụ quản lý bí mật như AWS Secrets Manager, HashiCorp Vault hoặc CyberArk Conjur để lưu trữ khóa API một cách an toàn ở phía máy chủ, thay vì nhúng nó vào mã phía máy khách.[1][3]
2. Triển khai API phần mềm trung gian trên máy chủ của riêng bạn để xử lý các lệnh gọi API tới OpenAI, do đó, khóa API không bao giờ bị lộ với máy khách.[3]
3. Sử dụng dịch vụ cổng như Zuplo có thể hoạt động như một proxy, lưu trữ khóa API của bạn một cách an toàn và thêm các tiêu đề ủy quyền cần thiết trước khi chuyển tiếp yêu cầu tới OpenAI.[4]
4. Hạn chế quyền của khóa API chỉ ở những điểm cuối cần thiết, thay vì sử dụng khóa không hạn chế.[2]
5. Thường xuyên xoay khóa API và cập nhật mọi dịch vụ bằng khóa cũ.[3]
Vì vậy, tóm lại, cách tiếp cận được khuyến nghị là sử dụng máy chủ mã thông báo hoặc API phần mềm trung gian để quản lý khóa API OpenAI một cách an toàn, thay vì hiển thị trực tiếp khóa đó cho các ứng dụng khách. Điều này cung cấp một lớp bảo mật bổ sung và kiểm soát những người có thể truy cập API.[1] [3] [4]
Trích dẫn:[1] https://www.gitguardian.com/remediation/openai-api-key
[2] https://community.openai.com/t/bring-your-own-key-policy/446168
[3] https://community.openai.com/t/web-implentation-and-keeping-the-api-key-private/150422
[4] https://zuplo.com/blog/2023/02/27/protect-open-ai-api-keys
[5] https://community.openai.com/t/is-this-allowed-this-bring-your-own-key-usage/161185