Skip to main content

​
간단 답변

token(API Key)에 설명되지 않는 사용이 보이면, 가장 안전한 방법은 다음 3단계입니다:
  1. 먼저 추적하십시오: KEY를 복사해서 채팅 기록, 코드 저장소, 설정 파일 전체에서 검색해 누가 받았고 어디에서 사용되는지 확인하십시오.
  2. 추적할 수 없으면 비활성화하십시오: 정말로 사용자를 찾을 수 없다면 해당 token을 그냥 비활성화하십시오. 영향은 보통 크지 않습니다.
  3. 계정을 강화하십시오: 계정 비밀번호를 변경하고 콘솔 권한을 더 엄격하게 제한하십시오. 꼭 필요하지 않은 사람은 콘솔에 로그인해서는 안 됩니다.
아래에는 자세한 대응 절차와, 로그의 실제 요청 IP를 사용해 실제 호출자를 특정하는 방법을 설명합니다.

​
조사 단계

1

Step 1: KEY의 행방을 추적합니다

토큰의 KEY를 복사하여 다음 항목 전체에서 전역 검색을 실행하고, 누구에게 전달되었는지와 어디에 설정되었는지 확인합니다:
  • 동료 / 계약자 / 고객과의 대화 기록 (WeChat, Lark, 이메일 등)
  • 코드 저장소 및 커밋 기록 (삭제된 브랜치, .env, 설정 파일 포함)
  • 배포 플랫폼, CI/CD, 서드파티 도구에 저장된 환경 변수 / 비밀값
대부분의 출처 불명 사용은 어딘가에 남아 있는 오래된 설정 때문입니다 — KEY를 한 번 검색하면 보통 원인을 찾을 수 있습니다.
2

Step 2: 추적이 불가능하면 해당 token을 비활성화합니다

Step 1을 마친 뒤에도 누가 사용 중인지 알 수 없다면, 해당 token을 비활성화하는 것이 유출을 멈추는 가장 빠른 방법입니다.token은 서로 독립적입니다 — 하나를 비활성화해도 계정 아래의 다른 token에는 영향을 주지 않으므로, 보통 영향은 최소입니다. 합법적으로 사용 중인 사람이 없음을 확인한 뒤에는 이를 비활성화하고, 필요하다면 대체 token을 만드십시오.
3

Step 3: 계정과 권한을 강화합니다

손실을 멈추는 동안 계정 보안을 강화합니다:
  • 계정 비밀번호를 강력한 비밀번호로 변경합니다
  • 콘솔 권한을 강화합니다 — 꼭 필요하지 않은 사람은 콘솔에 로그인하면 안 됩니다
  • 직원은 콘솔에 들어갈 필요 없이 조회 섹션에서만 KEY 사용량을 확인하도록 합니다

​
로그를 통해 실제 호출자를 식별하는 방법

콘솔의 로그 섹션에서 각 호출의 token, model, IP를 확인할 수 있습니다. 로그 항목의 IP에 마우스를 올리면 해당 호출의 IP 세부 정보를 표시합니다:
두 IP를 어떻게 읽습니까?
  • 메인 IP: APIYI의 트래픽 분산 IP입니다. 모든 고객에게 동일하며, 호출의 출처를 나타내지 않습니다.
  • 프록시 IP 아래의 X-Real-IP(및 X-Forwarded-For): 이는 실제로 호출을 수행한 IP이며, 즉 실제 사용자의 IP입니다.
조사할 때는 X-Real-IP를 기준으로 하십시오: 장비 / 네트워크와 대조하여 누가 호출하는지 식별하십시오.
빠르게 확인하려면 token을 교차 확인하십시오: 로그에는 사용된 token과 model도 표시됩니다. 먼저 의심스러운 token으로 로그를 필터링한 다음, 그 token의 X-Real-IP가 어느 주소들에 몰려 있는지 확인하십시오. 그러면 보통 특정 인물이나 서비스로 바로 이어집니다.

​
자주 묻는 질문

아닙니다. 각 token은 독립적이므로, 하나를 비활성화해도 계정 아래의 다른 token이나 일반 워크로드에는 영향을 주지 않습니다. 해당 token에 정당한 용도가 없는 한, 안전하게 비활성화하고 필요하면 대체 token을 생성할 수 있습니다.
아닙니다. Main IP(예: 104.194.93.159)는 APIYI의 트래픽 분산 IP로, 모든 호출에서 동일합니다 — 이는 정상입니다. 호출의 출처를 판단하려면 Proxy IP 아래의 X-Real-IP를 확인하십시오.
아닙니다. 직원에게는 자가 사용량 확인용으로 조회 섹션만 제공하고, 콘솔 관리자 접근 권한은 꼭 필요한 사람에게만 부여하는 것을 권장합니다 — 이렇게 하면 계정과 key 남용의 위험을 근원에서 줄일 수 있습니다.
몇 가지 습관이 중요합니다. 코드에 KEY를 하드코딩하지 말고 환경 변수를 사용하십시오. token은 용도별로 분리해 개별적으로 비활성화할 수 있게 하십시오. KEY는 주기적으로 교체하십시오. 그리고 누군가 퇴사하거나 프로젝트가 종료되면 관련 token을 회수하십시오.

​
관련 문서

Token Management

token을 생성, 비활성화, 할당하는 전체 가이드

Call Logs

각 호출의 token, 모델 및 IP를 확인하는 방법

Logs & Privacy Control

로깅 범위 및 개인정보 보호 설정

Data Security

APIYI의 데이터 보안 및 접근 제어 메커니즘

​
문의하기

조사한 후에도 여전히 궁금한 점이 있으면 기술 지원팀에 문의하십시오:

기술 지원