密钥轮换

什么是密钥轮换

密钥轮换是定期更新 API 密钥的安全最佳实践，用于满足安全合规要求，降低密钥泄露风险。

轮换步骤

零停机密钥轮换遵循三个步骤：

1. 创建新密钥

首先创建一个新的 API 密钥：

curl -X POST https://ai-tokenhub.com/v1/keys \
  -H "Authorization: Bearer <YOUR_MANAGEMENT_API_KEY>" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "my-api-key-new"
  }'

2. 更新应用程序

将应用程序中的 API 密钥更新为新创建的密钥：

from openai import OpenAI

client = OpenAI(
  base_url="https://ai-tokenhub.com/v1",
  api_key="<NEW_API_KEY>",
)

3. 验证新密钥

在删除旧密钥之前，务必验证新密钥在生产环境中正常工作，防止意外的服务中断。

自动化轮换

Python 示例

import requests
from openai import OpenAI

def rotate_api_key(management_key, old_key_hash):
    # 1. 创建新密钥
    response = requests.post(
        "https://ai-tokenhub.com/v1/keys",
        headers={"Authorization": f"Bearer {management_key}"},
        json={"name": "rotated-key"}
    )
    new_key = response.json()["key"]

    # 2. 验证新密钥
    client = OpenAI(
        base_url="https://ai-tokenhub.com/v1",
        api_key=new_key
    )
    # 测试调用...

    # 3. 删除旧密钥
    requests.delete(
        f"https://ai-tokenhub.com/v1/keys/{old_key_hash}",
        headers={"Authorization": f"Bearer {management_key}"}
    )

    return new_key

安全建议

• 建议每 90 天进行一次密钥轮换
• 使用环境变量存储密钥，不要硬编码
• 监控密钥使用情况，及时发现异常