Как защитить AI API keys
AI API keys утекают в 2026: (1) в client-side JS (главная проблема), (2) в GitHub public repos (secret scanning ловит $20k+ ежемесячно), (3) logs + error messages. Защита: (A) ВСЕГДА proxy через backend, (B) Budget limits + rate limiting per-user, (C) Auto-rotate ключи ежеквартально, (D) Monitor cost anomalies через GCP/AWS alerts. Утечка = $10k+ в cloud GPU bill за 24 часа.
Ниже: пошаговая инструкция, рабочие примеры, типичные ошибки, FAQ.
Пошаговая настройка
- Никогда не используйте API key в client-side JS / mobile app
- Backend proxy endpoint:
POST /api/ai/chat→ forwards to OpenAI - Env vars:
OPENAI_API_KEYв .env (600 permissions, не в git) - Rate limit per user + per-IP (Redis sliding window)
- Budget alert: OpenAI Usage limits, GCP billing alert
- Key rotation: ежеквартально + после каждого incident
- Monitor для anomalies: spike в usage → auto-disable
Рабочие примеры
| Сценарий | Конфиг |
|---|---|
| Backend proxy (Node/Express) | app.post('/api/ai/chat', authMiddleware, async (req, res) => {
const { message } = req.body;
if (!rateLimiter.allow(req.user.id)) return res.status(429).json({ error: 'rate limit' });
const response = await openai.chat.completions.create({
model: 'gpt-5',
messages: [{ role: 'user', content: message }]
});
res.json({ text: response.choices[0].message.content });
}); |
| Redis rate limit | const count = await redis.incr(`ai:${userId}:${hour}`);
if (count === 1) await redis.expire(`ai:${userId}:${hour}`, 3600);
if (count > 100) throw new Error('Rate limit exceeded'); |
| OpenAI budget limits | # В OpenAI Dashboard:
# Settings → Billing → Usage limits
# Hard limit: $100/month
# Soft limit: $50/month (email alert) |
| GitHub secret scanning | # Enable: Settings → Security → Secret scanning
# GitHub автоматически detects OpenAI/Anthropic keys
# Push blocked если secret found |
| Key rotation cron | # Quarterly rotation:
# 1. Generate new key в OpenAI dashboard
# 2. Update OPENAI_API_KEY в env
# 3. Reload app
# 4. Revoke old key через 24h |
Типичные ошибки
- Client-side JS key = instant leak (network tab или decompile). NEVER
- GitHub: даже private repo если приглашён неверный контрибьютор
- Logs:
console.log(process.env)может попасть в error tracker (Sentry, Datadog) - Mobile apps: reverse-engineering APK тривиально находит keys в strings
- Serverless env vars — безопасны, но deploy logs могут содержать
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
Что делать если key утёк?
Немедленно: (1) Revoke key в dashboard, (2) Check usage за последние 24h, (3) Rotate all related keys, (4) Review logs для suspicious calls, (5) Contact support если cost > $1k.
Cost $10k за утечку — реально?
Да. Automated bots scanning GitHub + Shodan instantly findings новые keys. 1 GPU hour на H100 = $2-5. 1000 parallel calls × 24h × $5 = $120k. Известные cases.
Proxy добавляет latency?
Да, +50-100ms. Mitigate: proxy в том же regionе, что OpenAI endpoint. Streaming response — UX не страдает.
Как Enterno защищает keys?
Все external API keys (OpenAI, Anthropic, Telegram) в backend .env с 600 permissions. Proxy endpoints с rate limiting + user auth. См. <a href="/security">Enterno Security Scanner</a>.