IPs confiáveis

Quando uma chave de API é usada a partir de um endereço IP para o qual não foi aprovada, a chamada fica retida até alguém aprovar o endereço. Uma chave vazada usada de outro lugar recebe uma recusa, não uma resposta.

Na barra lateral do console (aparece quando o recurso se aplica à sua conta): Settings › Security Abrir ↗

Passos

1. Abra Configurações › Segurança e ative a opção Aprovação de novos IPs. A janela lista os endereços de onde cada chave foi usada nos últimos 7 dias, com os endereços públicos já marcados: desmarque os que você não reconhecer e depois ative. Só o proprietário e os admins do workspace podem mudar essa configuração, e ela não é ativada enquanto o gateway não enxergar os endereços reais dos clientes (todas as chamadas parecem vir de um endereço privado atrás de um proxy).
2. A partir daí, uma chamada de qualquer outro endereço é recusada com 403 e o código de erro ip_not_trusted. O erro informa o endereço que o gateway viu e traz o link da página onde ele é aprovado (campos ip e approve_url). Quem criou a chave recebe um e-mail com o endereço, a localização, o cliente e o modelo pedido (numa chave de administração, a operação chamada); se for uma chave de administração que pertence ao workspace, ou se quem a criou saiu do workspace, o e-mail vai para o proprietário e os admins.
3. Abra o link, entre na conta e aprove o endereço, ou a faixa dele (/24 em IPv4, /64 em IPv6) para um cliente com endereços que mudam, ou recuse. A próxima chamada de um endereço aprovado passa.
4. A lista IPs confiáveis mostra os endereços de onde suas chaves foram usadas, com localização e status. Confie em um endereço conhecido com um clique, adicione à mão um endereço ou uma faixa em Adicionar IP (até /16 em IPv4, /32 em IPv6) ou remova um.

Limites e ressalvas

• A confiança vale por chave: aprovar um endereço libera essa chave a partir dele, não todas as chaves do workspace. Vale para chaves de inferência e de administração.
• Uma chave com allowlist de IPs própria não é afetada se nenhuma faixa da lista for mais ampla que /16 (IPv4) ou /32 (IPv6): só a allowlist dela decide. Se a lista tiver uma faixa mais ampla, como 0.0.0.0/0, a chave precisa de aprovação como qualquer outra. Desativar a opção Aprovação de novos IPs libera todos os endereços de novo e mantém os endereços confiáveis para a próxima vez.
• Podem aprovar quem criou a chave e o proprietário e os admins do workspace (numa chave de administração que pertence ao workspace, só o proprietário e os admins). A aprovação é feita no console, depois de entrar na conta; o e-mail não tem botão de aprovar, então um e-mail encaminhado não aprova nada.
• Uma solicitação pendente expira em 7 dias. Nos 30 dias seguintes a uma recusa, as chamadas desse endereço continuam recusadas, sem nova solicitação nem e-mail. Funções serverless e runners de CI que chamam de um endereço novo a cada execução ficam retidos toda vez: use para eles uma chave com allowlist de IPs ou confie na faixa deles.