AI üretimi uygulamalarda API anahtarları ve gizli bilgiler

Bir gizli bilgi, uygulamanın ya da sunucunun bir şey yapmaya yetkili olduğunu kanıtlayan her şeydir: bir API anahtarı, parola, token veya veritabanı bağlantı dizesi. İstemlerle geliştirirken, "çalışsın diye" bir anahtarı sohbete yapıştırmak kolaydır ve araç bunu doğrudan bir kaynak dosyasına yazabilir. Bu bir karakter kusuru değil; demoyu çalıştırmanın en hızlı yolu. Sadece yayından önce temizlenmesi gerekir.

Bu genel bir rehberdir, güvenlik denetimi değil.

Neden önemli

Bir uygulama paketi genelde açılıp okunabilir. Uygulamanın içindeki her şey, kodda yazılı bir anahtar dahil, uygulamayı indiren herkes tarafından okunabilir sayılmalıdır. Herkese açık bir kod deposundaki bir anahtar, depoyu bulan herkes tarafından okunabilir.

Sonra ne olacağı anahtara bağlıdır: hesabında masraf yapılabilir, veri okunabilir ya da senin adına istek gönderilebilir.

Nereye bakmalı

Tüm projede (gizli dosyalar dahil) şunları ara:

• key, secret, token, password, apikey, Bearer gibi kelimeler.
• Rastgele görünen uzun dizgiler.
• Gerçek değerler içeren .env dosyaları, yapılandırma dosyaları ve "örnek" dosyalar.
• Parola ya da token içeren arka uç adresleri.
• Sohbet ya da istem geçmişin: oraya bir anahtar yapıştırdıysan, makineni terk etmiştir.
• Sürüm kontrolü geçmişi: bugün silinen bir anahtar, eski bir commit'te hâlâ olabilir.

Düzeltme sırası

1. Gizlemek değil, değiştirmek. Bir anahtar paylaştığın bir kodda, herkese açık bir depoda ya da bir istemde olduysa, sağlayıcının panelinde yenisini oluştur ve eskisini devre dışı bırak.
2. Gizli bilgiyi uygulamadan çıkar. Olağan model: uygulama kendi küçük sunucunu çağırır ve anahtarı yalnızca sunucu tutar. Kodlama aracına bu modeli kendi kurulumun için açıklamasını iste, sonra sonucu yukarıdaki aramayla kendin doğrula.
3. Bir anahtarın yapabileceklerini sınırla. Birçok sağlayıcı anahtarı tek bir uygulamaya ya da bir harcama sınırına kısıtlamana izin verir. Kullan.
4. Gizli dosyaları bir yok sayma kuralıyla sürüm kontrolünün dışında tut ve geçmişi kontrol et.
5. Bitmiş uygulama paketinin içinde tekrar derle ve tekrar ara.

Bazı anahtarlar herkese açık olmak için tasarlanmıştır (örneğin bir harita ya da analitik servisinin tanımlayıcıları). Hangi türde olduğunu bilmek için sağlayıcının dokümantasyonuna bak.

Bir anahtar zaten yayınlandıysa

• Önce yeni bir anahtar oluştur ve eskisini devre dışı bırak.
• Sağlayıcının kullanım sayfasında beklenmedik bir şey olup olmadığına bak.
• Yeni kurulumu kullanan bir uygulama güncellemesi yayınla.
• Kullanıcı verisi dahil olmuş olabilirse, hangi yasal yükümlülüklerin sana ait olduğunu kontrol et; bu hukuki tavsiye değildir.

Ne vaat etme

Uygun biri tarafından denetlenmediyse uygulamanın "güvenli" ya da "denetlenmiş" olduğunu kullanıcılara söyleme. Gerçekte ne yaptığını söyle: örneğin "parolaları saklamıyoruz" ancak bu doğruysa.

Sonraki adım

Taze göz yardımcı olur. AppReviewX, diğer geliştiricilerden özel, yapılandırılmış geri bildirim sunar; testçilerden normal bir kullanıcının denemeyeceği şeyleri denemesini isteyebilirsin. AppReviewX'i dene.

İlgili: Vibe coding merkezi, testçilerin AI ile üretilmiş uygulamalarda bulduğu hatalar, AI ile üretilmiş bir uygulama için kapalı test.