API թոքենների պաշտպանություն արագ AI նախատիպի հավելվածներում

Ուղիղ պատասխան

API թոքենը ապացուցում է, որ հարցումը ձերն է։ Ով ունի այն, կարող է գործել բոտի անունից։ Երբեք մի դրեք թոքեններ հանրային կայքի կոդում կամ չաթում։ Արտահոսքի դեպքում անմիջապես չեղարկեք և փոխարինեք։ Արագ AI գործիքները այս սխալը հեշտ են անում - իրական շահագործման վերանայումը պետք է բռնի այն։

Թոքենը ≠ «config տող»։ Թոքենը = գաղտնաբառ ծառայության վրա։

Ի՞նչ է սա նշանակում գործնականում

• Սկսեք իրական բիզնես աշխատանքային հոսքից, ոչ թե մոդելի բրենդից։
• Նկարագրեք վարքը պարզ լեզվով, հետո ստուգեք յուրաքանչյուր ուղի, որն առնչվում է փողին, մուտքին կամ ելքային հաղորդագրություններին։
• Թողեք մարդու ուղի ոչ ստանդարտ դեպքերի համար - և երբեք մի անցկացրեք service key բրաուզերով «արագության համար»։

Ինչպիսին է լավը

• Բոլոր service key-երը միայն սերվերի վրա (env / secret manager)։
• Frontend-ը կանչում է ձեր API-ն. ձեր API-ն կանչում է Claude / OpenAI / այլ մատակարար։
• Scoped keys, նվազագույն իրավունքներ, առանձին test/live։
• Մատյաններ չարտոնված օգտագործման համար. չեղարկման/պտույտի ընթացակարգ։
• Սեսիայի հիշողություն և գիտելիքի բազա - մտածված, ոչ թե «բոլոր բանալիները հաճախորդում»։

Ինչպիսին է վատը

• NEXT_PUBLIC_... կամ Vite VITE_... service key-ով։
• Թոքեն GitHub public repo-ում, Discord/Slack չաթում, սքրինշոթում։
• «Թաքցրինք» բրաուզերի պահեստում (localStorage) - սա պաշտպանություն չէ։
• Webhook և admin թոքեններ հանրային URL-ում։
• Արտահոսքից հետո պտույտ չի արվում։

Արտահոսքի դեպքում ի՞նչ անել հիմա

1. Revoke / rotate բանալին մատակարարի մոտ։
2. Ստուգեք օգտագործման մատյանները անոմալիայի համար։
3. Հանեք կոդից, պատմությունից, CI secrets-ից։
4. Վերակառուցեք և ստուգեք bundle-ը (տողը չպետք է լինի հաճախորդում)։
5. Անհրաժեշտության դեպքում տեղեկացրեք տուժած կողմերին։

Ինչպես է վարում Dali-ն

Dali-ն ամրացնում է արագ AI նախատիպերը իրական շահագործման համակարգերի. gates, tools, ownership։ Կապված. մարտական AI գործակալներ, մարդու վերահսկման կետեր։