المفتاح السري مثل بطاقة البنك: اللي معه يقدر يصرف منه. مفاتيح OpenAI و Anthropic و Google تنسرق كثير، لأن الذكاء الاصطناعي اللي بنى منتجك يحطها أحيانًا في مكان يوصل لمتصفح أي زائر، أو في مستودع GitHub عام. فيه برامج تدوّر على هالمفاتيح على مدار الساعة.
كيف تعرف إن مفتاحك مكشوف
- افتح موقعك، واضغط F12، وفي تبويب Sources ابحث (Ctrl+Shift+F) عن
sk-لمفاتيح OpenAI و Anthropic، وAIzaلمفاتيح Google. أي مفتاح تلقاه هنا مكشوف لكل زائر. - إذا مستودعك على GitHub عام، ابحث فيه عن نفس الكلمات. انتبه: حذف المفتاح من الكود ما يكفي، لأنه يبقى في سجل التعديلات القديمة.
- افتح صفحة الاستخدام (Usage) في حساب المزوّد: استخدام في أوقات ما فيها زوار، أو نماذج ما تستخدمها، علامة إن أحد ثاني يستخدم مفتاحك.
أول ساعة، بالترتيب
- ألغِ المفتاح من لوحة المزوّد، في OpenAI من صفحة API keys، وأنشئ مفتاح جديد. هذا قبل أي شي ثاني، حتى قبل ما تصلّح الكود.
- حط المفتاح الجديد في إعدادات السيرفر (Environment Variables) فقط، مو في كود الواجهة، ولا في متغير يبدأ بـ
VITE_أوNEXT_PUBLIC_. - حط حد للإنفاق وتنبيهات من إعدادات الحساب، عشان أي سرقة جاية توقف عند مبلغ تعرفه.
- إذا الفاتورة كبيرة، كلّم دعم المزوّد واشرح إن المفتاح انسرق. ما فيه ضمان يرجّعون شي، بس يستاهل تحاول.
كيف تمنع إنها تتكرر
المتصفح ما يكلّم OpenAI مباشرة أبد: المتصفح يكلّم سيرفرك، وسيرفرك يكلّم OpenAI بالمفتاح. بعدها حط حد لكل مستخدم، كم طلب يقدر يسوي في الساعة، عشان حتى مستخدمينك ما يقدرون يصرفون فاتورتك. إذا منتجك على Supabase، مكان هالطلب Edge Function.
تحتاج أحد يتأكد؟
إذا مفتاح واحد كان مكشوف، غالبًا فيه مفاتيح ثانية بنفس المكان. الإصلاح المباشر يقفلها كلها وينقل الطلبات للسيرفر، أو تبدأ بـ مكالمة استشارية نشوف فيها الوضع معك. شوف بعد مشاكل Bolt الأشهر.