Khóa API nằm ở đâu

Khóa API của bạn không bao giờ rời khỏi trình duyệt của bạn, trừ khi đi tới chính nhà cung cấp đã cấp nó.

Đó là toàn bộ câu trả lời, và nó đáng được nói thẳng ra vì đây là điều đầu tiên ai cũng hỏi về một tính năng kiểu “mang khóa của bạn tới”. Phần còn lại của trang này là chi tiết đằng sau câu đó, gồm cả phần mà sản phẩm cẩn thận không nói quá lên.

Nó đi đâu

Khi TabOasis chạy một hành động AI, yêu cầu được gửi từ trình duyệt của bạn thẳng tới OpenAI hoặc tới Google, bằng thư viện chính thức của họ và bằng khóa của bạn. Không có máy chủ trung chuyển nào của TabOasis ở giữa. Máy chủ của chúng tôi không bao giờ nhìn thấy khóa, không bao giờ nhìn thấy lời nhắc, và không bao giờ nhìn thấy câu trả lời.

Hai hệ quả đi theo:

Không có khóa của bạn thì không gì chạy được, kể cả khi ngoại tuyến hoặc khi nhà cung cấp gặp sự cố. Không có phương án dự phòng và không có hạn mức dùng chung nào để rơi vào.
Phần sử dụng hiện trên bảng điều khiển của nhà cung cấp chính là toàn bộ bức tranh. Nếu ở đó có một yêu cầu, thì TabOasis đã gửi nó đi từ máy của bạn.

Có một yêu cầu đáng gọi tên ra vì nó là ngoại lệ so với cách những yêu cầu còn lại được gửi đi: khi TabOasis hỏi Gemini xem tài khoản của bạn dùng được những mô hình nào, khóa đi trong URL của yêu cầu chứ không đi trong header. Nó vẫn chỉ tới Google, nhưng URL là phần của một yêu cầu dễ lọt vào nhật ký nhất. Mọi lệnh gọi Gemini khác, và mọi lệnh gọi OpenAI, đều gửi khóa dưới dạng header.

Nó không nằm trong bất cứ thứ gì bạn gửi cho chúng tôi

Không nằm trong Đồng bộ đám mây. Khối dữ liệu được tải lên mang theo các hồ sơ, dữ liệu Tập trung và cài đặt của bạn. Cài đặt AI nằm ở một chỗ khác trên thiết bị và cố tình không nằm trong đó.
Không nằm trong Xuất JSON hay một bản xuất hồ sơ. Cả hai định dạng đều không có trường nào cho nó, nên một bản sao lưu bạn đưa cho người khác không mang theo khóa của bạn.
Không nằm trong thống kê sử dụng hay một báo cáo lỗi.

“Lưu trữ khóa mã hóa”, nói cho chính xác

Khi đã lưu, khung AI hiện AI được cấu hình với lưu trữ khóa mã hóa. Câu đó đúng, và nó hẹp hơn vẻ ngoài của nó, nên đây là bản trung thực.

Khóa được mã hóa trước khi được ghi vào bộ nhớ trình duyệt, việc đó giữ cho nó không nằm ở dạng chữ trần trong một bản trích xuất bộ nhớ hay một tệp xuất ra. Nhưng khóa dùng để mã hóa lại được suy ra từ những thứ mà bất kỳ đoạn mã nào chạy trong hồ sơ trình duyệt này cũng tự tính ra được.

Nên hãy coi nó là che giấu khi lưu, chứ không phải là bảo mật. Nó bảo vệ khóa của bạn khỏi bị đọc ra từ một tệp. Nó không bảo vệ khóa khỏi một người có thể chạy mã trong trình duyệt của bạn — nếu điều đó đã xảy ra, họ giải mã được nó, và họ cũng đọc được mọi thứ khác mà trình duyệt đang giữ.

Lời khuyên thực tế thì giống với mọi khóa API khác:

Cho nó phạm vi nhỏ nhất và hạn mức chi tiêu thấp nhất mà nhà cung cấp cho phép.
Đừng dùng một khóa đang chạy thứ gì đó quan trọng ở nơi khác.
Nếu một máy bị mất hoặc bị dùng chung, hãy thu hồi khóa ở phía nhà cung cấp. Xóa nó trong TabOasis chỉ xóa bản sao này.

Một bản cập nhật trình duyệt có thể làm quên nó

Vì việc mã hóa gắn với môi trường trình duyệt, một bản cập nhật trình duyệt có thể làm đổi kết quả của phép suy ra đó. Khi chuyện đó xảy ra, giá trị đang lưu không giải mã được nữa.

TabOasis xử lý việc đó bằng cách coi khóa là chưa cấu hình và đề nghị bạn dán nó vào lần nữa. Đó là cố ý: lựa chọn còn lại là đưa cho nhà cung cấp một cái khóa méo mó rồi để bạn tự đoán vì sao mọi yêu cầu đều trả về lỗi xác thực.

Vậy nên: nếu AI đột nhiên hiện Chưa cấu hình mà bạn không đụng gì cả, thì đó chính là chuyện đã xảy ra. Dán lại khóa; không có gì khác bị ảnh hưởng.

Gỡ nó ra

Nút xóa trên ô khóa API xóa bản sao của trình duyệt này. Nó không thu hồi khóa — chỉ nhà cung cấp của bạn làm được việc đó — và nó không đụng tới khóa đang lưu cho nhà cung cấp kia.

Gỡ tiện ích sẽ xóa nó cùng với mọi thứ khác.