Folgen Sie dem Code über Ihren API-Schlüssel hinaus

01

Trennen Sie den Schlüsselinhaber von der Empfängerkette

Ein API-Schlüssel identifiziert ein Konto oder autorisiert eine Anfrage. Er beschreibt nicht allein jedes System, das diese Anfrage erstellt, weiterleitet, protokolliert oder verarbeitet. Erfassen Sie das genaue Coding-Tool, die Funktion und den Anbieterpfad, bevor Sie entscheiden, wer Unternehmenscode erhält.

Verwenden Sie Cursor als konkretes dokumentiertes Beispiel, nicht als universelle Architektur für alle Editoren. Die BYOK-Dokumentation von Cursor besagt, dass Anfragen über die Server von Cursor zur finalen Prompt-Erstellung laufen und der Schlüssel über verschlüsselte Verbindungen an das Backend gesendet wird. Dieselbe Seite gibt an, dass der Schlüssel nach der Anfrage nicht gespeichert wird. Dies sind Herstellerangaben, keine unabhängige Verkehrs- oder Speicherprüfung.

Quellkontext: Cursor: Bring your own API key

02

Prüfen Sie, welche Funktionen den Schlüssel tatsächlich verwenden

Ein Tool kann Ihren Schlüssel für ausgewählte Modellanfragen verwenden, während andere Funktionen integrierte Dienste nutzen. Cursor dokumentiert benutzerdefinierte Schlüssel für Chat-Modelle, während Tab Completion weiterhin integrierte Modelle nutzt. Ein genehmigter Schlüssel sollte daher nicht als Genehmigung jeder Funktion oder jedes Empfängers in der Anwendung behandelt werden.

Erfassen Sie jede Funktion, die Entwickler nutzen wollen. Beziehen Sie automatische Kontextsammlung und konfigurierte externe Tools mit ein, gehen Sie aber nicht davon aus, dass alle denselben Pfad nutzen. Wenn das Tool keinen Empfänger oder Zweck feststellen kann, lassen Sie das Feld ungelöst und holen Sie eine aktuelle unterstützte Antwort ein.

Quellkontext: Cursor: Bring your own API key · Cursor: Datenschutz und Datenverwaltung

03

Zeichnen Sie die tatsächlichen Daten- und Berechtigungspfade auf

Beginnen Sie mit dem Gerät und listen Sie die Systeme auf, die Code, Prompts oder Tool-Ergebnisse erhalten. Zeichnen Sie den Berechtigungspfad separat: Ein Gateway könnte die Anbieterberechtigung halten, während es Prompts vom Editor erhält, oder der Editor könnte einen bereitgestellten Schlüssel weiterleiten. Die Unterscheidung ist wichtig dafür, wer Protokolle einsehen kann und wer den Zugriff widerrufen muss.

Die herunterladbare Karte ist eine synthetische Überprüfungshilfe. Das optionale Gateway ist ein Zweig zur Überprüfung, nicht die Behauptung, dass jede BYOK-Konfiguration eines enthält. Fügen Sie die tatsächlichen Empfänger der Organisation erst hinzu, nachdem der verantwortliche Eigentümer die Vereinbarung bestätigt hat, ohne Schlüsselwerte oder vertrauliche Nutzdaten einzugeben.

04

Fügen Sie jedem Empfänger Verarbeitungsbedingungen bei

Cursor gibt ausdrücklich an, dass seine Zero-Data-Retention-Richtlinie nicht für Anfragen gilt, die mit Ihren eigenen Schlüsseln gestellt werden; es gilt die Richtlinie des gewählten Anbieters. Prüfen Sie das tatsächliche Anbieter-Konto und die Vereinbarung, anstatt die Bedingungen des integrierten Modellpfads des Editors zu übernehmen.

Ein benutzerdefiniertes Gateway oder ein angeschlossener Dienst verfügt über eigene Protokolle, Berechtigungen, Verarbeitungs- und Aufbewahrungsfragen. Halten Sie diese getrennt von einer regionalen Hosting-Präferenz oder einer Verschlüsselungserklärung. Das Arbeitsblatt fragt, wer welche Daten erhält und was damit geschieht, sodass die Antwort auch bei einem Lieferanten- oder Bereitstellungswechsel nützlich bleibt.

Quellkontext: Cursor: Bring your own API key · Cursor: Datenschutz und Datenverwaltung

05

Schließen Sie die Routenüberprüfung mit einem Verantwortlichen ab

Genehmigen Sie die benannte Funktion und Empfängerkette, die zulässige Codeklasse, den Schlüsselinhaber und das Überprüfungsdatum. Identifizieren Sie, wer die Gateway-URL, den Anbieter oder die Tool-Verbindung ändern kann. Eine Konfigurationsänderung, die einen neuen Empfänger hinzufügt, sollte die Entscheidung erneut öffnen, bevor eingeschränkter Code diesen Weg folgt.

Verwenden Sie bei der Überprüfung eines Anfragebeispiels nur synthetische Marker. Diese Anleitung fordert Sie nicht auf, Anbieteraufrufe zu tätigen, einen Schlüssel offenzulegen oder ein echtes Entwicklergespräch aufzuzeichnen. Bewerten Sie unterstützte Mitarbeiter-Endpunktkontrollen separat und schließen Sie nicht daraus, dass sie die Handhabungsbedingungen des Gateways oder Anbieters ändern.