API ტოკენების დაცვა სწრაფ AI პროტოტიპის აპებში

პირდაპირი პასუხი

API ტოკენი ამტკიცებს, რომ მოთხოვნა თქვენია. ვისაც აქვს, იმას შეუძლია იმოქმედოს ბოტის სახელით. არასოდეს ჩადოთ ტოკენები საჯარო საიტის კოდში ან ჩატში. გაჟონვისას დაუყოვნებლივ გააუქმეთ და შეცვალეთ. სწრაფი AI ხელსაწყოები ამ შეცდომას ადვილად უშვებს - რეალური ექსპლუატაციის მიმოხილვამ უნდა დაიჭიროს.

ტოკენი ≠ «კონფიგის სტრიქონი». ტოკენი = პაროლი სერვისზე.

რას ნიშნავს ეს პრაქტიკაში

• დაიწყეთ რეალური ბიზნეს სამუშაო პროცესიდან, არა მოდელის ბრენდიდან.
• აღწერეთ ქცევა მარტივი ენით, შემდეგ შეამოწმეთ ყველა გზა, რომელიც ეხება ფულს, წვდომას ან გამავალ შეტყობინებებს.
• დატოვეთ ადამიანის გზა არასტანდარტული შემთხვევებისთვის - და არასოდეს გაატაროთ service key ბრაუზერში «სიჩქარისთვის».

როგორ გამოიყურება კარგი

• ყველა service key მხოლოდ სერვერზე (env / secret manager).
• Frontend იძახებს თქვენს API-ს; თქვენი API იძახებს Claude / OpenAI / სხვა პროვაიდერს.
• Scoped keys, მინიმალური უფლებები, ცალკე test/live.
• ლოგები არასანქცირებული გამოყენებისთვის; გაჩერების/როტაციის პროცედურა.
• სესიის მეხსიერება და ცოდნის ბაზა - განზრახ, არა «ყველა გასაღები კლიენტში».

როგორ გამოიყურება ცუდი

• NEXT_PUBLIC_... ან Vite VITE_... service key-ით.
• ტოკენი GitHub-ის public repo-ში, Discord/Slack ჩატში, სკრინშოტში.
• «დავმალეთ» ბრაუზერის საცავში (localStorage) - ეს დაცვა არ არის.
• Webhook და admin ტოკენები საჯარო URL-ზე.
• გაჟონვის შემდეგ როტაცია არ ხდება.

გაჟონვისას რა გააკეთოთ ახლავე

1. Revoke / rotate გასაღები პროვაიდერთან.
2. შეამოწმეთ გამოყენების ლოგები ანომალიაზე.
3. ამოიღეთ კოდიდან, ისტორიიდან, CI secrets-დან.
4. გადააწყვეთ და გადაამოწმეთ bundle (არ უნდა იყოს სტრიქონი კლიენტში).
5. საჭიროების შემთხვევაში შეატყობინეთ დაზარალებულ მხარეებს.

როგორ აწარმოებს Dali

Dali ამყარებს სწრაფ AI პროტოტიპებს რეალური ექსპლუატაციის სისტემებად: gates, tools, ownership. დაკავშირებული: საბრძოლო AI აგენტები, ადამიანის კონტროლის წერტილები.