Con una lista de direcciones IP permitidas, puedes limitar las solicitudes a la API de OpenAI a las que provengan de direcciones IP o rangos CIDR de confianza. Cuando activas la lista, OpenAI rechaza las solicitudes que provienen de otras direcciones IP, incluso si incluyen una clave de API válida.
Usa una lista de direcciones IP permitidas como capa adicional de protección para las cargas de trabajo de producción que tienen una salida de red fija o bien definida. La lista solo se aplica a las solicitudes a la API. Los usuarios pueden seguir accediendo a platform.openai.com e iniciando sesión sin esta restricción.
La lista de direcciones IP permitidas controla las solicitudes que tus aplicaciones envían a OpenAI. Si necesitas permitir las solicitudes que los productos de OpenAI envían a servicios que tú controlas, usa los rangos de direcciones IP de salida publicados por OpenAI.
Antes de activar una lista de direcciones IP permitidas
Identifica la dirección IP pública de salida o el rango de direcciones de cada carga de trabajo que llama a la API. Comprueba qué dirección queda después de cualquier traducción de direcciones de red (NAT) o del paso por una VPN, un firewall o un proxy, ya que la API evalúa la dirección IP de origen que recibe OpenAI.
Una lista puede contener hasta 50 entradas entre direcciones IP individuales y rangos CIDR. El rol de propietario de la organización incluye los permisos Read y Write necesarios para administrar la configuración de las listas de direcciones IP permitidas. Para obtener más información sobre los permisos, consulta Administrar permisos en la plataforma de OpenAI.
Empieza con un solo proyecto que no sea crítico antes de aplicar la lista a toda tu organización. Mientras pruebas la configuración, mantén disponible una ruta que ya hayas probado para enviar solicitudes desde una dirección IP permitida.
Las listas de cada proyecto tienen prioridad sobre la lista de la organización. Las entradas se mantienen separadas. Si un proyecto tiene su propia lista activa, se aplica esa lista. Si carece de una lista activa propia, se aplica la de la organización.
Configurar una lista de direcciones IP permitidas
- Abre Configuración > Seguridad > Lista de direcciones IP permitidas.
- Agrega las direcciones IP individuales o los rangos CIDR que quieras permitir. Por ejemplo, usa
203.0.113.10para una sola dirección o203.0.113.0/24para un rango. - Si quieres confirmar que la lista incluye una dirección IP específica, usa la herramienta Comprobar.
- Activa la lista para un proyecto específico o para toda tu organización.
- Espera hasta 15 minutos para que el cambio surta efecto.
- Envía solicitudes a la API desde cada entorno que deba tener acceso para verificar que lo tenga.
Activar una lista de direcciones IP permitidas a nivel de organización afecta las solicitudes a la API de los proyectos que carecen de una lista activa propia. Antes de activarla, verifica todas las rutas de salida de producción, preproducción, integración continua y recuperación ante desastres en cada ámbito afectado.
Verificar que se aplique la lista
Envía una solicitud representativa a la API desde una ruta de red permitida. Por ejemplo:
curl https://api.openai.com/v1/models \
-H "Authorization: Bearer $OPENAI_API_KEY"La solicitud debería completarse de acuerdo con las condiciones habituales de autenticación y autorización de la clave de API. Si envías la solicitud desde una dirección IP que no figura en la lista activa, la solicitud falla con el estado HTTP 401 y el código de error ip_not_authorized.
Resolver problemas con solicitudes bloqueadas
Si una solicitud que debería permitirse falla con ip_not_authorized:
- Confirma la dirección IP pública de salida de la carga de trabajo desde la misma ruta de red que se usa para enviar la solicitud a la API. Un equipo de desarrollo local puede tener una dirección IP pública distinta de la de un servicio desplegado.
- Comprueba si una puerta de enlace NAT, una VPN, un firewall, un proxy o el proveedor de servicios en la nube cambió la dirección de salida.
- Usa la herramienta Comprobar en la configuración de la lista de direcciones IP permitidas para verificar si la dirección coincide con alguna de las entradas configuradas.
- Confirma que la lista activa se aplique a la organización o al proyecto asociado con la clave de API.
- Después de cambiar la configuración, espera hasta 15 minutos y vuelve a hacer la prueba.
Una lista de direcciones IP permitidas no sustituye el almacenamiento seguro de las claves de API, la rotación de claves ni las medidas de seguridad de la cuenta. Si una solicitud debe provenir de una red privada de Azure en lugar de una dirección IP pública, considera usar Private Link. Private Link es incompatible con los controles de las listas de direcciones IP permitidas.