HopBaseAPI Key 泄露了,第一件事是立刻在控制台禁用这把 Key——禁用后它的请求马上被拒绝,不影响其他 Key;然后新建一把同配置的 Key 替换上线,再按 Key 筛选用量、导出 CSV,确认泄露期间调了什么模型、花了多少。员工离职同理:停用成员账号,他名下所有 Key 立即不可用,再处理他创建的部门 Key。本文给出一份可照做的手册:前 10 分钟做什么、日常该开哪些预防设置、离职回收清单,以及怎么用审计日志和用量 CSV 确认处理到位。
前 10 分钟:Key 泄露应急步骤
发现 Key 出现在公开仓库、聊天群、截图或日志里,不要先查原因,先止血。
- 0–2 分钟,禁用:在控制台「API 密钥」找到这把 Key,点禁用。禁用即时生效,只影响这一把。如果确认不再需要,随后吊销(删除);已删除的密钥仍保留删除人、删除时间和历史用量,可以回看。
- 2–5 分钟,轮换:新建一把 Key,照抄原来的分组、额度、过期时间、IP 名单和并发,替换到用到它的服务或配置里。
- 5–8 分钟,看用量:在「用量」页按这把 Key 筛选,看泄露时间段内的请求时间、模型、token 数和状态,找出异常从什么时候开始。
- 8–10 分钟,留证:按同一筛选导出 CSV(单文件最多 5 万行、400 天),交给财务或安全同事。每行可复算「官方成本 × 折扣 ÷ 汇率 = 实扣」;失败请求不计费。
做完这四步,再回头查泄露来源,以及同一个人创建的其他 Key 是否也需要轮换——每把 Key 都显示创建人,用量页也可以按「Key 创建人」筛选。
轮换的推荐顺序
非紧急的定期轮换,用「先新后旧」避免停机:
- 新建 Key,配置与旧 Key 相同;
- 把新 Key 发布到服务;
- 在用量页按旧 Key 筛选,确认已经没有新请求;
- 禁用并吊销旧 Key。
给 Key 设过期时间,可以把「定期轮换」变成到期必须做的事;过期时间留空则永不过期。
预防设置:让泄露的 Key 能做的事尽量少
泄露没法完全避免,但可以把一把 Key 的最大损失提前锁死。每把 Key 都能单独设置下面这些项:
| 设置 | 作用 | 建议 |
|---|---|---|
| Key 额度 | 这把 Key 最多能花多少美元;用完后请求在处理前被拒绝(HTTP 402 insufficient_quota) | 按服务一个月的正常用量设,留少量余量 |
| 过期时间 | 到期自动失效 | 临时任务、外包、CI 测试必设 |
| IP 名单 | 限制可以使用这把 Key 的 IP | 线上服务填出口 IP;每行一个 |
| 分组(1–10 个) | Key 只能调所含分组的模型,GET /v1/models 返回可用模型 | 只给业务需要的分组,泄露的 Key 调不了其他模型 |
| 并发 | 限制同时进行的请求数 | 批处理 Key 设低,防止被拿去刷量 |
另外三条组织层面的保护:
- 一个服务一把 Key:泄露时只停一个服务;
- 成员额度与部门额度:就算 Key 本身没设额度,也会被所属成员和部门的本期额度封顶;
- 余额预警:按「可用余额」设多档阈值,跌破时发邮件和站内通知,异常消耗能被尽早发现。
成员、部门与三级额度怎么搭,见企业怎么给员工分配大模型 API Key;完整的安全评估项见企业接入大模型 API 的安全清单。
员工离职 API Key 回收清单
离职当天按顺序做:
- 停用成员:「团队管理 → 成员」里停用该成员。停用后他名下所有密钥立即不可用。
- 查他创建的部门 Key:有些 Key 不挂成员、直挂部门(例如他维护的线上服务)。在密钥列表看创建人,或在用量页按「Key 创建人」筛选,把这些 Key 逐一轮换。
- 导出最后一期用量:按成员筛选导出 CSV,用于本期结算与部门分摊。
- 调整角色:如果他是部门负责人,给部门换一位负责人;如果他是企业管理员,由企业主取消管理员身份。
- 删除成员(可选):删除后登录账号停用、名下所有密钥一并删除,不可恢复;历史用量与记录保留,可在「已移除成员」中查看。
- 轮换他接触过的共享配置:凡是他看过明文的服务 Key,按上面的「先新后旧」轮换。
用审计日志和用量 CSV 确认处理到位
处理完不等于结束,要能证明处理过、而且生效了:
- 审计日志:组织调整、成员变更、额度与权限调整、密钥操作全程留痕,可按时间与对象查询。企业主和企业管理员可以查看,用它核对「谁在几点禁用了哪把 Key、停用了哪位成员」。
- 用量 CSV:每个请求都记录模型、token 数、延迟和状态。按旧 Key 或离职成员筛选,禁用时间之后不应再有成功并计费的请求。
- 旧 Key 自检:用旧 Key 调一次
GET /v1/usage,确认它已不可用(该端点以is_active判断,见查询余额与额度文档)。
排查时你能看到的是计费元数据:提示词与输出只用于完成请求,不作为业务数据保留,也不用于训练;全程 TLS。
注册 HopBase,给每把 Key 设好额度与 IP 名单
常见问题
API Key 泄露怎么办,删掉就够了吗?
先禁用止血,再新建一把同配置的 Key 替换上线,然后按旧 Key 筛选用量、导出 CSV 核对泄露期间的消耗。只删不查,你不知道损失多大,也不知道同一个人创建的其他 Key 是否也要换。
员工离职后,他建的 API Key 怎么回收?
停用成员后,他名下所有 Key 立即不可用。再按「Key 创建人」找出他创建、但直挂部门的 Key,逐一轮换。删除成员会一并删除名下密钥,历史用量保留。
怎么查一把 Key 什么时候调了什么模型?
在用量页按这把 Key 筛选,可以看到每个请求的时间、模型、token 数、延迟和状态,并能导出 CSV。Key 的创建、修改、禁用等操作在审计日志里按时间与对象查询。