เก็บ Claude API Key ให้ปลอดภัยอย่างไร? ป้องกันคีย์รั่วจากโค้ดและเว็บไซต์

Claude API Key เป็นข้อมูลลับที่ใช้ยืนยันสิทธิ์เรียก Claude API หากผู้อื่นได้คีย์ไป อาจนำไปใช้ส่งคำขอผ่านบัญชีของคุณและทำให้เกิดค่าใช้จ่ายที่ไม่คาดคิดได้ ComSiam จึงแนะนำให้จัดการคีย์เหมือนรหัสผ่านของระบบ ตั้งแต่ตอนพัฒนาไปจนถึงนำแอปขึ้นใช้งานจริง

ทำไมต้องปกป้อง API Key

คีย์อาจรั่วได้จากหลายจุด เช่น เขียนคีย์จริงไว้ในไฟล์โค้ด อัปโหลดไฟล์ขึ้น GitHub โดยไม่ตั้งใจ ใส่คีย์ในภาพหน้าจอ หรือส่งให้บริการภายนอกที่ไม่รู้จัก หากมีผู้พบคีย์ พวกเขาอาจเรียก API โดยใช้สิทธิ์และทรัพยากรของบัญชีที่ผูกกับคีย์นั้น

หลักสำคัญคือ อย่าใส่ API Key ไว้ในโค้ดที่เผยแพร่หรือส่งให้ผู้ใช้ดาวน์โหลด และอย่าส่งคีย์จริงในแชต อีเมล หรือคำถามที่โพสต์สู่สาธารณะ

วิธีเก็บคีย์ระหว่างพัฒนาแอป

ใช้ Environment Variable

ให้เก็บคีย์ไว้ใน Environment Variable แล้วให้โปรแกรมอ่านค่าตอนทำงาน แทนการเขียนคีย์ลงในไฟล์โปรแกรมโดยตรง ตัวอย่างชื่อตัวแปรที่ใช้กันคือ ANTHROPIC_API_KEY โดยใส่ค่าจริงไว้ในเครื่องหรือระบบที่รันแอป ไม่ใช่ในไฟล์ซอร์สโค้ด

ถ้าใช้ไฟล์ .env ในเครื่องเพื่อความสะดวก ให้เพิ่มไฟล์นี้ใน .gitignore เพื่อป้องกันการส่งขึ้น Repository ตรวจด้วยว่าไม่มีไฟล์สำรองหรือไฟล์ตั้งค่าอื่นที่เก็บคีย์ซ้ำอยู่

แยกคีย์ระหว่างงาน

หากเป็นไปได้ ให้แยกคีย์สำหรับการพัฒนา การทดสอบ และระบบจริง เพื่อให้ติดตามการใช้งานได้ง่ายขึ้น และจำกัดผลกระทบหากคีย์ชุดใดชุดหนึ่งรั่ว ควรตั้งชื่อคีย์ให้บอกวัตถุประสงค์และผู้รับผิดชอบได้ โดยไม่ใส่ตัวคีย์จริงในชื่อ

สำหรับแอปที่ทำงานบนคลาวด์ ให้ใช้ระบบจัดเก็บ Secret ของผู้ให้บริการแทนการฝังคีย์ไว้ในไฟล์ตั้งค่าที่เผยแพร่ได้

ป้องกันคีย์รั่วจากเว็บไซต์

อย่าใส่ Claude API Key ไว้ใน JavaScript ที่ส่งไปยังเบราว์เซอร์ เพราะผู้เข้าชมสามารถตรวจดูไฟล์หรือคำขอจากเครื่องตนเองได้ แนวทางที่ปลอดภัยกว่าคือให้เว็บไซต์ส่งข้อความไปยังเซิร์ฟเวอร์ของคุณ แล้วให้เซิร์ฟเวอร์ใช้คีย์เรียก Claude API จากนั้นส่งเฉพาะผลลัพธ์ที่จำเป็นกลับไปยังหน้าเว็บ

ComSiam แนะนำให้ตรวจทั้งโค้ดฝั่งหน้าเว็บ ไฟล์ตั้งค่า และประวัติ Repository ก่อนเผยแพร่ โดยค้นหาข้อความที่มีรูปแบบคล้ายคีย์และตรวจว่าไฟล์ .env ถูกละเว้นจาก Git แล้ว การใช้เครื่องมือตรวจจับ Secret ใน Repository ช่วยเพิ่มโอกาสพบคีย์ที่เผลอใส่ไว้ก่อนส่งโค้ดได้

จำกัดความเสี่ยงและตรวจการใช้งาน

① จำกัดผู้ที่เข้าถึงคีย์ ให้เฉพาะคนหรือระบบที่จำเป็นต้องใช้ และหลีกเลี่ยงการส่งคีย์เดียวกันผ่านช่องทางทั่วไป

② ตรวจ Usage และ Logs เป็นระยะ หากพบการใช้งานผิดปกติ ให้ตรวจเวลาและรูปแบบคำขอ พร้อมพิจารณาหยุดใช้คีย์ที่เกี่ยวข้องทันที

③ ใช้การหมดอายุหรือหมุนเวียนคีย์เมื่อเหมาะสม การเปลี่ยนคีย์ช่วยลดช่วงเวลาที่คีย์เก่าอาจถูกนำไปใช้ แต่ต้องอัปเดตคีย์ในระบบที่เกี่ยวข้องให้ครบก่อนปิดคีย์เดิม

④ อย่าพึ่งระบบตรวจจับอัตโนมัติเพียงอย่างเดียว แม้บางแพลตฟอร์มอาจตรวจพบคีย์ที่เผยแพร่ แต่การป้องกันตั้งแต่ต้นและตรวจสอบด้วยตนเองยังจำเป็น

ถ้าสงสัยว่าคีย์รั่ว ต้องทำอย่างไร

ให้หยุดใช้และปิดหรือลบคีย์ที่สงสัยผ่าน Claude Console โดยเร็ว จากนั้นสร้างคีย์ใหม่ เก็บในตำแหน่งที่ปลอดภัย และเปลี่ยนค่าคีย์ในระบบที่ได้รับอนุญาตให้ใช้งาน ตรวจ Logs และข้อมูลการใช้จ่ายเพื่อหาคำขอที่ไม่คุ้นเคย รวมถึงลบคีย์ออกจากไฟล์หรือประวัติ Repository ที่เกี่ยวข้อง

ถ้าคีย์เคยถูกส่งขึ้น GitHub การลบข้อความหรือไฟล์ออกจากเวอร์ชันล่าสุดอาจไม่เพียงพอ เพราะคีย์อาจยังอยู่ในประวัติการเปลี่ยนแปลง ให้ถือว่าคีย์นั้นเปิดเผยแล้วและเพิกถอนทันที อย่านำคีย์เก่ากลับมาใช้ แม้ภายหลังจะลบออกจาก Repository แล้วก็ตาม

หากต้องให้ Claude ช่วยตรวจโค้ด ให้แทนคีย์จริงด้วยข้อความอย่าง [REDACTED_API_KEY] ก่อนส่งทุกครั้ง และตรวจว่าไม่มีข้อมูลลับอื่น เช่น Token หรือรหัสผ่านอยู่ในตัวอย่างด้วย

สรุป

เก็บ Claude API Key ไว้ใน Environment Variable หรือระบบจัดการ Secret, อย่าฝังคีย์ในโค้ดหรือ JavaScript ฝั่งเบราว์เซอร์, ละเว้นไฟล์ .env จาก Git และคอยตรวจ Logs กับการใช้งาน หากคีย์รั่วให้เพิกถอนและสร้างใหม่ทันที การทำตามแนวทางเหล่านี้ช่วยลดความเสี่ยงที่คีย์จะถูกนำไปใช้โดยไม่ได้รับอนุญาต ComSiam แนะนำให้ตรวจตำแหน่งจัดเก็บคีย์ทุกครั้งก่อนเผยแพร่แอปหรือส่งโค้ดให้ผู้อื่น