mmo.vn

Kiểm tra lộ API key trước khi dán cho AI

Dán đoạn code, file .env, log lỗi hay cấu hình. Công cụ tìm API key (Claude, OpenAI, Google, GitHub, AWS…), token, mật khẩu, khoá riêng; chỉ cách thu hồi và tạo bản đã che để dán an toàn vào ChatGPT, Claude hay gửi đồng nghiệp. Văn bản không rời trình duyệt.

0 dòng · quét ngay khi dán, không gửi đi đâu

Chưa có nội dung.

    Lỡ lộ key thì làm gì?

    1. Thu hồi key ngay trong trang quản trị của nhà cung cấp, tạo key mới. Xoá key khỏi code chưa đủ: key đã nằm trong lịch sử Git, log, lịch sử chat với AI.
    2. Xem nhật ký sử dụng (usage, billing) vài ngày gần đây để biết có ai dùng key của bạn không.
    3. Để key trong biến môi trường hoặc trình quản lý bí mật, thêm .env vào .gitignore, bật GitHub secret scanning cho repo.
    4. Đặt giới hạn chi tiêu và giới hạn quyền cho mỗi key: một key cho một dự án.

    Đọc thêm: các bài lập trình với AI an toàn · thuật ngữ.

    Công ty bạn đang để nhân viên dùng AI viết code? Kết Nối Số đào tạo dùng AI an toàn cho đội ngũ.

    Đọc thêm về chủ đề này

    Câu hỏi thường gặp

    Đoạn code tôi dán có bị gửi lên máy chủ không?

    Không. Việc quét chạy hoàn toàn bằng JavaScript trên trình duyệt của bạn, nội dung không được gửi đi và không được lưu lại. Trang chỉ đếm một lượt dùng, kèm việc có phát hiện key hay không.

    Công cụ nhận ra những loại key nào?

    Khoá riêng (private key), API key Anthropic, OpenAI, Google, token GitHub, Slack, bot Telegram, access key và secret key AWS, khoá Stripe live, chuỗi kết nối CSDL có mật khẩu, JWT, và các dòng kiểu password=, secret=, token= ghi thẳng giá trị trong code.

    Không phát hiện gì có nghĩa là an toàn để chia sẻ?

    Chưa chắc. Công cụ dò theo định dạng của các loại key phổ biến, nên key của dịch vụ khác, key bị ngắt dòng hay mật khẩu không có tên biến đi kèm có thể lọt qua. Ngược lại, chuỗi mẫu trông giống key cũng có thể bị báo nhầm, nên vẫn đọc lại trước khi dán cho AI hay đẩy lên Git.

    Bản đã che khác gì bản gốc?

    Mỗi chỗ phát hiện được thay bằng một nhãn như <DA_CHE_API_KEY_OPENAI>, phần còn lại giữ nguyên, nên bạn vẫn dán được cho AI để hỏi lỗi mà không lộ giá trị thật. Chỉ những chỗ công cụ tìm thấy mới được che.

    Công cụ này khác gì GitHub secret scanning?

    GitHub secret scanning quét repo trên GitHub và có thể chặn lượt push chứa key, tức là khi code đã hoặc sắp lên GitHub. Công cụ này dùng trước khi bạn chia sẻ ở bất kỳ đâu, kể cả khung chat với AI hay tin nhắn cho đồng nghiệp, nên dùng cả hai là tốt nhất.