Skip to main content

​
簡潔な答え

ある token（API Key）に説明のつかない使用が見つかった場合、安全な進め方は次の 3 ステップです。
  1. まず追跡する: KEY をコピーして、チャット履歴、コードリポジトリ、設定ファイル全体を検索し、誰が受け取り、どこで使っているかを確認します。
  2. 追跡できないなら無効化する: 本当に利用者を見つけられない場合は、その token を 無効化 してください。影響は通常最小限です。
  3. アカウントを強化する: アカウントのパスワードを変更し、コンソール権限を厳しくします。不要な人はコンソールにログインすべきではありません。
以下では、詳細な手順に加えて、ログ内の 実際のリクエスト IP を使って本当の送信元を特定する方法も説明します。

​
調査手順

1

手順 1: KEY の行き先を追跡する

token の KEY をコピーし、次の対象を横断して全体検索を実行し、誰に渡され、どこで設定されたのかを確認します:
  • チャット履歴 同僚 / 外注先 / 顧客とのやり取り（WeChat、Lark、email など）
  • コードリポジトリ と commit 履歴（削除済みブランチ、.env、設定ファイルを含む）
  • 環境変数 / シークレット デプロイプラットフォーム、CI/CD、サードパーティツールに保存されているもの
ほとんどの「謎の利用」は、どこかに残って動き続けている古い設定が原因です。KEY を 1 回検索するだけで特定できることが大半です。
2

手順 2: 追跡できないなら、その token を無効化するだけです

手順 1 の後でも誰が使っているのか分からない場合は、その token を無効化するのが、被害拡大を止める最短の方法です。token は互いに独立しています。1 つを無効化しても、アカウント内の他の token には影響しません。そのため、影響は通常最小限です。正当に使っている人がいないことを確認できたら無効化し、必要であれば代替の token を作成してください。
3

手順 3: アカウントと権限を強化する

被害を止めつつ、アカウントのセキュリティを強化します:
  • アカウントのパスワードを変更する 強力なものにする
  • コンソール権限を厳格化する — 必要のない人はコンソールにログインできないようにする
  • スタッフが KEY の使用状況を確認するのは、コンソールに入らず クエリセクション 経由のみにする

​
ログから実際の呼び出し元を特定する方法

コンソールの ログ セクションでは、各呼び出しの token、モデル、IP を確認できます。ログ項目の IP にカーソルを合わせると、その呼び出しの IP 詳細が表示されます:
2 つの IP の見方は？
  • メイン IP: APIYI の トラフィック分散 IP で、全顧客で共通です。呼び出し元は示しません。
  • X-Real-IP (および X-Forwarded-For) のプロキシ IP: これは 実際に呼び出しを行った IP、つまり実ユーザーの IP です。
調査時は X-Real-IP を頼りにしてください。マシン / ネットワークと照合して、誰が呼び出しているかを特定します。
素早く絞り込むには token を照合します: ログには使用された token と モデル も表示されます。まず怪しい token でログを絞り込み、その X-Real-IP がどのアドレスの周辺に集まっているかを確認してください。通常は特定の個人またはサービスに直接つながります。

​
よくある質問

いいえ。各 token は独立しており、1つを無効化しても、他の token やアカウント配下の通常のワークロードには影響しません。token に正当な用途がない限り、安全に無効化して、必要であれば代替を作成できます。
いいえ。Main IP（例: 104.194.93.159）は APIYI のトラフィック分散 IP で、すべての呼び出しで共通です。これは正常な挙動です。呼び出しの発信元を判断するには、Proxy IP の下にある X-Real-IP を確認してください。
いいえ。スタッフには自己確認用として Query セクション だけを提供し、コンソールの管理者アクセスは必要最小限の人に限定することをおすすめします。これにより、アカウントとキーの悪用リスクを根本から下げられます。
いくつかの習慣があります。KEY をコードにハードコードせず、環境変数を使うこと。用途ごとに token を分け、個別に無効化できるようにすること。KEY を定期的にローテーションすること。そして、誰かが退職したときやプロジェクトが終了したときには、該当する token を回収することです。

​
関連ドキュメント

Token Management

token の作成、無効化、割り当てに関する完全ガイド

Call Logs

各呼び出しの token、モデル、IP を確認する方法

Logs & Privacy Control

ログの範囲とプライバシー設定

Data Security

APIYI のデータセキュリティとアクセス制御の仕組み

​
お問い合わせ

調査してもまだ疑問が残る場合は、テクニカルサポートまでご連絡ください:

テクニカルサポート