纳米AI_API_Key泄露了如何办

必须立即禁用泄露的API Key以阻断风险，禁用比删除更安全可保留审计记录且实时拦截；随后生成新Key并更新所有调用源；再排查泄露源头，最后启用IP白名单与频率限制。

纳米AI API Key泄露后，攻击者可能滥用你的配额、窃取数据、甚至冒用身份调用敏感接口，必须立即阻断风险。

立刻禁用泄露的API Key

登录纳米AI控制台 → 进入「API密钥管理」页面 → 找到对应Key → 点击右侧「禁用」按钮 → 确认操作。

这一步不可跳过，【禁用比删除更安全，能保留Key记录用于审计，且立即终止所有未完成请求】。如果直接删除，部分正在传输中的请求可能因缓存延迟仍被接受，而禁用是服务端实时拦截。

生成新Key并更新所有调用源

在同一个「API密钥管理」页点击「创建新密钥」→ 命名时注明用途（如“web-prod-v2”）→ 复制新Key。

逐个检查所有使用该Key的服务：前端JS代码、后端配置文件（.env、application.yml）、CI/CD脚本、定时任务、第三方集成平台（如Zapier、Make）。一处漏改，就等于没修。

更新时注意：Node.js项目要重载环境变量，Python需重启uwsgi/gunicorn进程，Docker容器必须重建镜像或更新secret卷——热更新不生效。

排查泄露源头

方法一：查看纳米AI控制台的「调用日志」，筛选泄露Key最后活跃时段的IP、User-Agent、请求路径，重点看非常规UA（如curl/7.81.0）或境外IP。

方法二：用Git历史搜索：git log -S "nanomi_" --all -p（假设Key含nanomi前缀），确认是否曾误提交到公开仓库。

方法三：检查CI日志输出，有些流水线会把echo $API_KEY写进日志——只要日志权限设为public，Key就已裸奔。

【别只查代码，也查浏览器开发者工具Console里有没有console.log(API_KEY)】

启用IP白名单与调用频率限制

回到「API密钥管理」→ 编辑新Key → 开启「IP白名单」→ 填入你业务服务器的真实出口IP（不是内网地址，不是NAT后地址）→ 同时设置「每分钟请求上限」为当前实际峰值的1.5倍。

白名单开启后，任何非授权IP携带该Key发起的请求会直接返回403，连鉴权环节都不走。频率限制则能遏制暴力探测和批量爬取。

这一步做完，旧Key即使没被彻底清理干净，攻击者也无法再利用。