Безопасность и данные

API-ключ позволяет расходовать FC вашего аккаунта. Создавайте отдельные ключи для приложений, задавайте срок действия и лимит расходов. Секреты передавайте только по HTTPS.

Хранение ключей

Храните ключ в серверной переменной окружения или менеджере секретов. Не размещайте его в URL, клиентском JavaScript, localStorage, мобильном приложении, репозитории, письме или аналитике.

Полный ключ показывается один раз. Сервер хранит проверочное значение, которое не позволяет восстановить секрет. На странице управления ключами не используются сторонние трекеры и запись экрана.

Если ключ раскрыт

Удалите или замените его в кабинете, обновите настройки приложения и проверьте использование. Удаления ключа из последнего коммита недостаточно: копии могут остаться в истории Git и логах.

Доступ к данным

Ключ работает только с запросами, файлами и отчётами своего аккаунта. Управление ключами требует веб-сессии. Ключ API не заменяет вход в кабинет и не даёт доступа к платежам.

Ключи внешних сервисов клиенту не передаются. Файлы выдаются с проверкой доступа. Для LLM используйте данные изображения или собственный file_id; внешние адреса не загружаются.

Срок хранения содержимого

Responses с store: true сохраняются до 24 часов и доступны для продолжения через previous_response_id. DELETE /v1/responses/{id} удаляет сохранённое содержимое. Финансовый чек при этом сохраняется.

События потока и результат запроса доступны для восстановления доставки до 24 часов. После истечения срока сервер возвращает content_expired; повтор не запускает модель заново. Временные загрузки имеют expires_at и защищены от удаления, пока используются заданием.

Отчёты использования не содержат текстов запросов и ответов. Не включайте секреты, пользовательские тексты и медиа в публичные логи приложения.

Правила обработки данных и использования сервиса приведены в политике конфиденциальности и пользовательском соглашении.