账号与安全
犀速AI的数据安全与密钥安全说明
犀速AI的数据安全与密钥安全说明：默认不保存请求和回复正文，调用记录保留 40 天，不用于训练、不出售；API 密钥只显示一次，可设 IP 白名单、模型范围和预算，支持轮换与吊销，附上线前安全清单。
先说结论：
- 默认不保存请求和回复的正文。 调用记录只有时间、模型、token 数、费用、request_id、状态和来源 IP，保留 40 天，之后只留按天汇总。
- 不用于训练模型，不出售、不出租，也不用于广告。
- 密钥明文只显示一次，服务端只存无法还原的哈希。
- 每把密钥可以单独设 IP 白名单、模型范围和预算；轮换有宽限期，吊销立即生效。
完整条款以 隐私政策 为准，这一页把和接入最相关的部分讲清楚。
你的数据：存什么、存多久
请求和回复的正文
默认不保存。你的请求必须转发给上游模型供应商才能得到回复，回复再原样返回给你，这一段由上游供应商按其各自的数据政策处理。
内容安全检测
为了阻止违法内容，请求文本会经过自动内容安全检测，其中一部分由第三方审核接口完成。检测只返回「通过」或「拦截」，我们只记录命中了哪条规则（以及命中的关键词），不保存请求原文。
内容采样：只在你同意时开启
只有在你通过工单要求排查某个具体问题、并且同意之后，我们才会针对相关的那把密钥临时开启内容采样：
- 最长开启 24 小时；
- 采到的内容加密保存，3 天后自动删除；
- 每次开启和查看都留有审计记录。
你没在工单里同意，就不会开启。
调用记录和其他记录
调用记录包括：时间、模型、输入和输出 token 数、费用、request_id、返回状态、来源 IP。它们是计费、对账和排查故障的依据，不包含请求和回复的正文。你可以在控制台「调用明细」里逐笔查看自己的记录。
| 信息 | 保留多久 |
|---|---|
| 调用明细 | 40 天，之后只保留按天汇总的用量与费用 |
| 登录记录（时间、IP、浏览器标识） | 30 天 |
| 工单及附件 | 最后一次回复后 30 天自动删除 |
| 临时内容采样（仅在你同意时开启） | 3 天 |
| 账号信息 | 账号存续期间；注销后删除 |
| 订单与支付记录 | 为对账、退款和防范欺诈需要而保留，不用于其他用途 |
这些信息用来做什么、会给谁
只用于提供服务、计费和对账、排查故障、发现滥用和欺诈、回复你的工单。不会用于训练模型，不会出售或出租给第三方，也不会用于广告。
会接触到的只有：上游模型供应商（完成请求所需的请求内容）、支付服务商（完成支付所需的订单信息）、网络与安全服务商（本站经 CDN 加速和防护，访问请求会经过其网络），以及依据有效法律程序的要求。
传输与存储
全站使用 HTTPS 加密传输；密码和 API 密钥只存哈希；内容采样等敏感数据加密存储；后台访问需要两步验证并留有审计记录。
API 密钥：保管
明文只显示一次
创建或轮换密钥时，页面会显示一次完整明文，并提示「此密钥只显示这一次，请立即保存」。关掉之后我们也拿不回来：服务端只存哈希，客服同样看不到原文。之后密钥卡片上只显示前缀（形如 sk-rt-xxxx…），用来区分是哪一把。
丢了怎么办：
- 确定没有外泄，只是自己没存好：轮换一把新的，旧的在宽限期内照常可用，服务可以平滑切过去；
- 不确定会不会已经外泄：直接吊销，再新建一把。
不要开工单要原文，我们给不了。
代码里不写明文
把密钥放在环境变量或你们的密钥管理服务里，代码只读取变量名：
import os
from openai import OpenAI
client = OpenAI(
base_url="https://api.xisu.ai/v1",
api_key=os.environ["XISU_API_KEY"], # 从环境变量读，代码里不出现明文
)
print(client.models.list().data[0].id)
设置环境变量：PowerShell 用 $env:XISU_API_KEY="你的密钥"，macOS / Linux 用 export XISU_API_KEY="你的密钥"。变量没设时这段代码会直接报 KeyError，不会悄悄带着空密钥发请求。
密钥不该出现在哪
- 前端代码、浏览器插件、移动端 App 包体（都能被反编译或直接看到）；
- 公开仓库、CI 日志、报错截图、录屏；
- 发给我们的工单正文（见下文「哪些内容不能放进工单」）。
每把密钥的三道闸
控制台「API 密钥」里，每张密钥卡片上有：名称、前缀、最近使用、剩余 / 已用额度（积分）、状态，以及「改名」「改预算」「IP 白名单」「模型范围」「轮换」「吊销」几个按钮。三道闸可以每把单独配置，互不影响。
| 设置 | 作用 | 被它挡住时 |
|---|---|---|
| IP 白名单 | 只允许来自指定地址的请求使用这把密钥 | 401 invalid_api_key |
| 模型范围 | 这把密钥只能调用勾选的模型 | 403 model_not_allowed |
| 预算 | 这把密钥累计最多花多少 | 429 budget_exceeded |
IP 白名单
每行一条，可以是单个 IP（如 203.0.113.7）或网段（如 203.0.113.0/24），IPv6 同样支持。要填调用方的公网出口地址，不是内网地址；取不到来源 IP 的请求也会被拒。留空保存就是取消白名单、不限制来源。
⚠️ 被 IP 白名单挡住时，返回的错误和「密钥无效」完全一样，也不会回显你的来源 IP。这是有意的：专门的错误码等于告诉捡到密钥的人「密钥是好的，只是换个网络就行」。所以如果调用突然全部报「密钥无效」而密钥本身没问题，先回来确认白名单，反复重建密钥没有用。
模型范围
不勾选就是「不限制」：这把密钥可以调用账户可用的全部模型。勾选之后，只有勾选的模型能用这把密钥调用，被挡住的模型在「可用模型」页上显示为「这把密钥未包含」。
模型范围和你套餐允许的模型取交集。被挡住时看错误 message 里的措辞：「…by your plan」是套餐不包含这个模型；「…for this API key」是套餐够、但这把密钥的模型范围没勾它，这时改模型范围就行，升级套餐没有用。
勾了一份固定清单后，平台以后上新的模型这把密钥不会自动能用。需要的话回来再勾上。
预算
创建时或之后点「改预算」都能设，按元填写，卡片上按积分显示。要点：
- 预算是累计的，不按月自动清零；
- 额度包抵扣掉的部分也计入预算；
- 预算用完后这把密钥停止服务（
429 budget_exceeded），不会自己恢复；其他密钥不受影响； - 要恢复，可以「改预算」调高上限，或点「重置已用」把已用金额清零（上限不变，清零后立刻恢复服务）；
- 把上限改得低于已用金额，保存后这把密钥会立刻停止服务。
轮换与吊销
轮换
点「轮换」会生成一把新密钥，套餐、预算、IP 白名单、模型范围和有效期全部照搬。旧密钥在你选的宽限期后失效，可选：1 小时、24 小时（推荐，默认）、3 天、7 天，或「立即失效」。宽限期内新旧两把都能用，你可以把服务一台台切过去。
- 同一时间最多两把有效。 宽限期内再轮换一次，更早的那一把会立刻失效，不会等它自己的宽限期走完。先把服务切完，再考虑下一次轮换。
- 宽限期内两把各自记账。 这段时间最多可能花掉「剩余预算」的两倍（两把各自在自己的预算线上停）。要严格不超支，选「立即失效」。
- 轮换失败时先刷新列表。 失败也可能是服务端其实成功了、只是响应没回来；直接再点一次可能多出一把你没见过明文的密钥。
吊销
吊销立即生效，没有宽限期，正在使用这把密钥的所有服务会立刻收到 401，而且不可撤销。已吊销的密钥可以从列表「移除」，历史调用明细与账单仍然按它归属，随时可查。
怀疑泄露时
- 立刻吊销这把密钥（或轮换时选「立即失效」）；
- 在「调用明细」里按这把密钥筛选，看有没有不认识的调用；
- 新密钥配上 IP 白名单和预算，再放回服务里。
哪些内容不能放进工单
工单内容会保存到最后一次回复后 30 天，客服排查也从来用不到下面这些：
- 密钥明文（哪怕是已经吊销的）；
- 账号密码；
- 两步验证码；
- 含个人隐私的完整对话内容。
排查一次调用只需要四样：
| 需要 | 在哪里拿 |
|---|---|
request_id |
响应头 x-request-id，或控制台「调用明细」时间下方那一串（点一下整串选中） |
| 发生时间 | 调用明细里的时间，带上时区 |
| 模型 | 你请求时写的 model |
| 完整的错误响应体 | 你的程序收到的原始错误 JSON，贴文字，不要截图 |
如果确实需要看请求内容才能定位，我们会在工单里说明原因并征求你的同意，再按上文的规则对那把密钥临时开启内容采样，不需要你把对话贴进来。不小心把密钥贴进了工单的话，马上去吊销它。
上线前安全清单
- 一个服务（或一个环境）一把密钥，名称写清用途，例如「生产-客服机器人」，出事时只动这一把。
- 密钥只放在环境变量或密钥管理服务里，不进代码仓库、前端、App 包体、日志和截图。
- 服务器出口 IP 固定的，配上 IP 白名单，填公网出口地址。
- 模型范围只勾实际要用的模型。
- 设一个预算，并想好用完时谁来处理（调高上限还是重置已用）。
- 上线前演练一次轮换（选 24 小时宽限期），确认服务能切到新密钥。
- 记住吊销在哪里，以及泄露时的三步处理。
- 应用日志只记
request_id，不记 Authorization / x-api-key 请求头。 - 账号开启两步验证。
- 不再使用的旧密钥及时吊销。