Опишите полный путь данных
Перечислите приложение, шлюз, выбранного продавца или поставщика и все вышестоящие сервисы, обрабатывающие запрос. Кроме текстовых промптов учитывайте файлы, изображения, аудио, результаты генерации и ответы инструментов. Выделите конфиденциальные и персональные сведения, удалите поля, не нужные для задачи. Для Rock API начните с руководства по безопасности и конфиденциальности, затем проверьте условия конкретной модели или сервиса маркетплейса. Если документация не отвечает на требование, запросите письменное уточнение. Общее утверждение об одном маршруте не распространяется автоматически на всех продавцов и поставщиков моделей.Запросите конкретные подтверждения
HTTPS и совместимость с OpenAI не подтверждают соблюдение законодательства, гарантированную локализацию данных или договорное отсутствие хранения. Согласуйте с оператором необходимое соглашение об обработке данных и его исключения.
Защитите ключи и собственные журналы
Храните API-ключи на сервере в менеджере секретов и разделяйте разработку, тестовое окружение и продакшен. Предоставляйте доступ только нужным людям и сервисам; используйте доступные ограничения прав и расходов. Зафиксируйте владельца ключа, отзыв и ротацию, отработайте замену скомпрометированного ключа. Проверьте журналы приложения, SDK, обратного прокси, систем наблюдаемости и выгрузок поддержки. Режим отладки может захватывать полное содержимое, даже если обычный журнал этого не делает. Скрывайте заголовки авторизации и по умолчанию не сохраняйте клиентские тексты. До работы с реальными данными протестируйте ошибки на синтетических примерах. Метаданные потребления тоже требуют проверки. ID запроса, время, название модели, число токенов, IP-адрес и идентификатор аккаунта вместе могут раскрывать деятельность или идентифицировать человека. Задайте цель, срок хранения и правила доступа, не считая автоматически анонимным все, кроме промптов.Зафиксируйте решение о запуске
Запишите проверенный сервис, документы, дату проверки, разрешенные категории данных, открытые вопросы и ответственного. Протестируйте маскирование и контроль доступа, подтвердите контакт на случай инцидента. Определите, какие задачи останутся заблокированными до выполнения требований. Пересматривайте оценку при смене модели, продавца, маршрутизации или функций журналирования.Безопасно управляйте ключами API
Планируйте хранение, ротацию и отзыв ключей вместе с оценкой сервиса и обработки данных.