API ключи обеспечивают доступ к Claude API, но они могут представлять значительные риски безопасности, если не обращаться с ними должным образом. Ваш API ключ — это цифровой ключ к вашей учетной записи. Как номер кредитной карты, если кто-то получит и использует ваш API ключ, он будет совершать платежи от вашего имени. В этой статье описаны лучшие практики управления API ключами, чтобы они оставались защищенными и предотвращали несанкционированный доступ и платежи в вашей учетной записи Claude Console.
Распространенные риски и уязвимости
Одной из наиболее частых причин утечки API ключей является случайное раскрытие в публичных репозиториях кода или сторонних инструментах. Разработчики часто случайно коммитят API ключи в открытом виде в публичные репозитории GitHub или вводят их в сторонние инструменты, что может привести к несанкционированному доступу и потенциальному злоупотреблению связанными учетными записями.
Лучшие практики безопасности API ключей
1. Никогда не делитесь своим API ключом
Держите это в конфиденциальности: Как вы не делитесь своим личным паролем, не делитесь своим API ключом. Если кому-то нужен доступ к Claude API, он должен получить свой собственный ключ.
Не делитесь своим ключом на публичных форумах: Не включайте ваш API ключ в публичные обсуждения, письма или билеты поддержки, даже между вами и Anthropic.
Будьте осторожны со сторонними инструментами: Учитывайте, что когда вы загружаете ваш API ключ в сторонние инструменты или платформы (такие как веб-IDE, облачный провайдер или CI/CD платформа), вы даете разработчику этого инструмента доступ к вашей учетной записи Claude Console. Если вы не доверяете их репутации, не доверяйте им свой API ключ.
При использовании стороннего провайдера всегда добавляйте ваш API ключ как зашифрованный секрет. Никогда не включайте его непосредственно в ваш код или файлы конфигурации.
2. Внимательно отслеживайте использование и логи
Мы рекомендуем регулярно проверять страницу Логи (platform.claude.com/logs) и страницу Использование (platform.claude.com/usage) для ваших API ключей в Console.
Для организаций API с пользовательским лимитом скорости: Установите лимиты расходов на странице Биллинг (platform.claude.com/settings/billing) и лимиты скорости рабочей области на странице Лимиты скорости (platform.claude.com/usage/limits).
Эти лимиты служат защитой от неожиданного использования из-за утечки ключей или ошибочных скриптов.
Для организаций API со стандартным лимитом скорости: Включите и настройте автоматическую перезагрузку на странице Биллинг (platform.claude.com/settings/billing).
Эта функция позволяет вам установить порог, при котором ваша учетная запись автоматически будет списывать средства с карты на файле для пополнения кредитов использования.
Тщательно рассмотрите лимиты автоматической перезагрузки. Хотя они обеспечивают непрерывное обслуживание, они также служат защитой от неожиданного высокого использования, которое может быть результатом утечки ключей или ошибок в вашем коде.
3. Безопасно обрабатывайте API ключи с помощью переменных окружения и секретов
Лучшей практикой для безопасной обработки API ключей является использование переменных окружения для безопасного внедрения и обмена переменными окружения. Когда вы развертываете ваше приложение в облачной среде, вы можете использовать их решение для управления секретами, чтобы безопасно передать API ключ вашему приложению через переменную окружения без случайного раскрытия вашего API ключа.
Если вы храните секреты локально с помощью dotenv, вы должны добавить ваши файлы .env в файл игнорирования системы контроля версий (например, .gitignore для git), чтобы предотвратить случайное распространение конфиденциальной информации публично. В облачных средах предпочитайте зашифрованное хранилище секретов вместо файлов dotenv.
Пример на Python:
1. Создайте файл .env в директории вашего проекта.
2. Добавьте ваш API ключ в файл .env:
ANTHROPIC_API_KEY=your-api-key-here
3. Установите пакет python-dotenv:
pip install python-dotenv
4. Загрузите API ключ в ваш скрипт Python:
from dotenv import load_dotenv
import os
load_dotenv()
my_api_key = os.getenv("ANTHROPIC_API_KEY")
5. Если вы развертываете ваше приложение в облачной среде хостинга, обратитесь к документации вашего облачного провайдера о том, как добавить ваш Claude API ключ и поделиться им с вашим приложением (AWS, GCP, Azure, Vercel, Heroku). Некоторые провайдеры предлагают несколько способов безопасного внедрения переменных окружения в ваше приложение.
4. Регулярно ротируйте API ключи
Регулярно ротируйте ваши API ключи по согласованному графику (например, каждые 90 дней), создавая новые и деактивируя старые. Эта процедура помогает минимизировать потенциальные риски, если ключ когда-либо будет скомпрометирован.
5. Используйте отдельные ключи для разных целей
По возможности используйте разные API ключи для сред разработки, тестирования и производства. Таким образом, вы можете соотнести ваше использование с разными внутренними случаями использования. Если ваш API ключ скомпрометирован, это позволяет вам быстро отключить только этот случай использования и ограничить любой потенциальный ущерб.
6. Сканируйте репозитории на предмет секретов
Регулярно проверяйте ваши репозитории системы контроля версий на случайно закоммиченные секреты.
Используйте инструменты SAST, такие как Gitleaks (https://github.com/gitleaks/gitleaks), для сканирования ваших репозиториев на предмет случайно закоммиченных секретов.
Интегрируйте сканирование секретов в ваш CI/CD конвейер, чтобы перехватить любые секреты перед их отправкой в основную ветку.
Включив регулярное сканирование секретов в ваш рабочий процесс разработки, вы можете перехватить и предотвратить случайное раскрытие API ключей и другой конфиденциальной информации в ваших репозиториях кода.
7. Используйте безопасную систему управления ключами (KMS)
По мере масштабирования организаций и увеличения количества API ключей и других секретов, безопасное управление этими конфиденциальными учетными данными становится более сложным. Здесь в игру вступают системы управления ключами (KMS). KMS предоставляет централизованное решение для хранения, доступа и управления секретными ключами, включая API ключи.
Преимущества использования KMS
Централизованная безопасность: Храните все ваши секреты в одном безопасном, зашифрованном месте.
Контроль доступа: Реализуйте детальный контроль доступа, чтобы определить, кто может просматривать или использовать определенные ключи.
Журналы аудита: Отслеживайте весь доступ и изменения ваших секретов в целях соответствия и безопасности.
Ротация ключей: Легко ротируйте ключи на регулярной основе для повышения безопасности.
Интеграция: Многие решения KMS интегрируются с популярными облачными платформами и инструментами разработки.
Партнерство Anthropic с GitHub для защиты API ключей
Anthropic напрямую сотрудничает с GitHub, чтобы обеспечить дополнительный уровень защиты для наших пользователей через программу сканирования секретов партнеров GitHub. Это партнерство предлагает проактивные меры безопасности для предотвращения неправомерного использования случайно раскрытых API ключей:
GitHub активно сканирует публичные репозитории на предмет раскрытых Claude API ключей.
Если Claude API ключ обнаружен в публичном репозитории GitHub, GitHub немедленно уведомляет Anthropic.
Чтобы предотвратить потенциальное злоупотребление, Anthropic автоматически деактивирует раскрытый API ключ.
Затронутый пользователь получает подробное уведомление по электронной почте от Anthropic об инциденте.
Что мне делать, если я подозреваю, что мой API ключ скомпрометирован?
Если вы подозреваете, что ваш API ключ может быть скомпрометирован, мы рекомендуем немедленно отозвать ключ. Вы можете сделать это, войдя в вашу учетную запись Claude Console, перейдя на страницу API ключи (platform.claude.com/settings/keys), нажав на меню (т.е. три горизонтальные точки) рядом с интересующим вас ключом и выбрав "Удалить API ключ."
Обратитесь к этой статье для получения дополнительной информации: Что мне делать, если я подозреваю, что мой API ключ скомпрометирован?
Безопасность API ключей — это постоянный процесс, требующий бдительности и регулярного пересмотра ваших мер безопасности. Следуя этим лучшим практикам, вы можете значительно снизить риск утечки API ключей и несанкционированного доступа.