API key khác mật khẩu thông thường ở đâu?
Một token có thể cho phép workflow gọi dịch vụ thay mặt tài khoản hoặc ứng dụng. Nếu token có quyền rộng, người lấy được nó có thể đọc, sửa hoặc xóa dữ liệu và tạo chi phí ngoài dự kiến. Coi token như thông tin xác thực có quyền hạn, không phải chuỗi cấu hình vô hại.
Lưu bí mật đúng chỗ
Dùng kho secrets hoặc phần quản lý kết nối được nền tảng hỗ trợ. Trong CI/CD, dùng secret của môi trường triển khai; trong nền tảng no-code, dùng credential connection. Không ghi token vào repository, file HTML công khai, Google Sheet chia sẻ rộng, prompt, nhật ký lỗi hoặc ảnh chụp màn hình. Nếu cần mẫu cấu hình, dùng placeholder như YOUR_API_KEY.
Áp dụng nguyên tắc quyền tối thiểu
Tạo token chỉ có các quyền cần thiết cho workflow đó. Một luồng chỉ đọc không nên có quyền xóa; một quy trình đăng bản nháp không nên tự ý quản trị tài khoản. Tách token phát triển và sản xuất, giới hạn tài nguyên khi dịch vụ hỗ trợ, và không dùng chung một token quản trị cho mọi tích hợp.
Giảm nguy cơ rò rỉ qua log và đầu ra AI
Không đưa token vào nội dung gửi mô hình. Che giá trị bí mật trong log, thông báo lỗi và bản ghi thử nghiệm. Khi workflow trả về toàn bộ đối tượng lỗi từ API, kiểm tra xem có header hoặc dữ liệu xác thực nào bị ghi ra không. Chỉ lưu những trường cần thiết để chẩn đoán.
Nếu nghi token đã lộ
Thu hồi hoặc vô hiệu hóa token bị ảnh hưởng, tạo token mới với quyền tối thiểu, cập nhật kết nối ở nơi lưu an toàn, rồi kiểm tra lịch sử sử dụng và log có liên quan. Không chỉ xóa token khỏi commit mới: bí mật vẫn có thể tồn tại trong lịch sử Git, bản build, cache hoặc log. Nếu có dấu hiệu truy cập trái phép, giữ bằng chứng phù hợp và xử lý theo quy trình ứng phó sự cố.
Checklist phát hành
• Không có khóa thật trong mã nguồn. • Quyền token được rà soát. • Bí mật được che trong log. • Có người chịu trách nhiệm sở hữu kết nối. • Biết cách thu hồi và thay token. • Token thử nghiệm không dùng cho sản xuất. • Quyền truy cập tài khoản công cụ được kiểm tra định kỳ.