Защитите аккаунт разработчика

Откройте Настройки в организации, доступ которой хотите проверить. Просмотрите способы входа, passkeys, двухфакторную защиту, сессии браузера и авторизации CLI. API-ключи проверяйте отдельно как credentials приложений. Ключ авторизует API-вызовы и не создаёт сессию браузера; OAuth-доступ CLI позволяет управлять разрешёнными операциями аккаунта, но сам по себе не является inference-ключом.

Называйте ключи по нагрузкам, чтобы было понятно, какое приложение обновлять или отключать. Страница ключей показывает безопасные метаданные и права по умолчанию; одноразовое полное значение храните в защищённом месте. Пересматривайте доступ при смене сотрудника или устройства, а не только после ошибки входа.

Проверьте доступ последовательно

Сверьте активные сессии браузера и устройства с теми, которыми пользуетесь. Отдельно проверьте авторизации CLI, включая оставшиеся от старых рабочих станций. Имя компьютера в списке не хранится. Если несколько входов CLI нельзя сопоставить, в настройках есть «Отозвать весь доступ CLI». Затем просмотрите имена, состояние, срок действия и последнее использование ключей при наличии. Незнакомое имя или неожиданная недавняя активность требуют разбора, даже если сессии браузера выглядят нормально. В активности API сопоставляйте безопасные метаданные операций, не пытаясь найти текст запросов.

Последнее использование и недавняя активность помогают начать разбор, но не являются полным историческим аудитом. Сейчас активность показывает последние 50 операций и не фильтрует по ключу. Для точного поиска сохраните примерное время и публичный ID ответа у клиента.

При потере устройства или ключа

По ситуации отзовите затронутую сессию браузера, авторизацию CLI и отдельный API-ключ. Это разные действия: выход из одного браузера не отзывает ключ приложения, а отзыв ключа не закрывает все доступы CLI. При потере ключа создайте замену, обновите каждый использовавший его клиент, бесплатно проверьте каталог моделей и отзовите старое значение. При подозрении на утечку быстро отзовите раскрытый ключ и завершите восстановление клиента с новым. Список показывает последнее использование при наличии — это метаданные, а не содержимое запроса.

Если устройство недоступно, действуйте из другой доверенной сессии: завершите его сессию браузера, отзовите авторизацию CLI, если можете её определить, и ключи его клиентов. Если несколько авторизаций CLI нельзя сопоставить с устройствами, отзовите их все и заново авторизуйте только доверенные компьютеры. Не ждите возвращения потерянного устройства, если известно о раскрытии ключа. После восстановления доступа проверьте замену бесплатным каталогом и убедитесь, что старый ключ больше не активен.

Передавайте диагностику безопасно

Не помещайте credentials в код, историю команд, URL, скриншоты, задачи и сообщения поддержке. Вместо них передавайте публичный request-id, время, endpoint и безопасный код ошибки. Приватность данных разработчика объясняет подготовку обращения. О хранении CLI и безопасном откате конфигурации — безопасность CLI, о web-жизненном цикле ключа — создание и защита API-ключа.