IP attendibili

Quando una API key viene usata da un indirizzo IP per cui non è stata approvata, la chiamata resta in attesa finché qualcuno non approva l'indirizzo. Una chiave trapelata e usata da un altro posto riceve un rifiuto, non una risposta.

Nella barra laterale della console (appare quando la funzionalità si applica al tuo account): Settings › Security Apri ↗

Passaggi

1. Apri Impostazioni › Sicurezza e attiva l'opzione Approvazione dei nuovi IP. La finestra elenca gli indirizzi da cui ogni chiave è stata usata negli ultimi 7 giorni, con gli indirizzi pubblici già selezionati: deseleziona quelli che non riconosci e poi attiva. Solo il proprietario e gli amministratori del workspace possono cambiare questa impostazione, che non si attiva finché il gateway non vede i veri indirizzi dei client (tutte le chiamate sembrano arrivare da un indirizzo privato dietro un proxy).
2. Da quel momento, una chiamata da qualsiasi altro indirizzo viene rifiutata con 403 e il codice di errore ip_not_trusted. L'errore riporta l'indirizzo visto dal gateway e il link alla pagina in cui approvarlo (campi ip e approve_url). Chi ha creato la chiave riceve un'email con l'indirizzo, la sua posizione, il client e il modello richiesto (per una chiave di amministrazione, l'operazione chiamata); per una chiave di amministrazione che appartiene al workspace, o se chi l'ha creata ha lasciato il workspace, l'email va al proprietario e agli amministratori.
3. Apri il link, accedi e approva l'indirizzo, oppure il suo intervallo (/24 per IPv4, /64 per IPv6) per un client con indirizzi che cambiano, oppure rifiutalo. La chiamata successiva da un indirizzo approvato passa.
4. L'elenco IP attendibili mostra gli indirizzi da cui sono state usate le tue chiavi, con posizione e stato. Rendi attendibile un indirizzo noto con un clic, aggiungi a mano un indirizzo o un intervallo con Aggiungi IP (fino a /16 per IPv4, /32 per IPv6) oppure rimuovine uno.

Limiti e insidie

• L'attendibilità vale per chiave: approvare un indirizzo fa passare quella chiave da lì, non tutte le chiavi del workspace. Vale sia per le chiavi di inferenza sia per quelle di amministrazione.
• Una chiave con una propria allowlist di IP non è interessata se nessun intervallo della lista è più ampio di un /16 (IPv4) o di un /32 (IPv6): decide solo la sua allowlist. Se la lista contiene un intervallo più ampio, come 0.0.0.0/0, la chiave va approvata come tutte le altre. Disattivando l'opzione Approvazione dei nuovi IP tutti gli indirizzi tornano a passare e gli indirizzi attendibili restano salvati per la volta successiva.
• Possono approvare chi ha creato la chiave e il proprietario e gli amministratori del workspace (per una chiave di amministrazione che appartiene al workspace, solo il proprietario e gli amministratori). L'approvazione avviene nella console, dopo l'accesso; l'email non ha un pulsante di approvazione, quindi un'email inoltrata non approva nulla.
• Una richiesta in attesa scade dopo 7 giorni. Nei 30 giorni successivi a un rifiuto, le chiamate da quell'indirizzo continuano a essere rifiutate, senza una nuova richiesta né email. Le funzioni serverless e i runner CI che chiamano da un indirizzo nuovo a ogni esecuzione vengono trattenuti ogni volta: assegna loro una chiave con allowlist di IP oppure rendi attendibile il loro intervallo.