主题
安全使用
保管密钥
- 每个应用使用独立密钥，并设置适当额度与有效期。
- 不在公开代码、截图、群聊、前端 JavaScript 或网页 URL 中保存密钥。
- 仅将密钥交给你信任的客户端；插件或脚本也可能读取配置。
- 不使用本站登录密码或后台管理凭证代替模型 API Key。
泄露后怎么做
- 立即在 API 密钥页面停用或删除泄露的密钥。
- 检查近期使用日志、余额和异常访问。
- 创建权限更小的新密钥，更新受影响应用。
- 清理公开副本并检查仓库历史、日志、截图及共享配置。
仅修改网站登录密码，不应被视为已经撤销所有 API 密钥。不要等出现损失后才停用已泄露凭证。
网站账户
使用唯一且足够强的密码。若「安全与访问」提供并已启用二次验证，按界面完成设置并妥善保存恢复信息。不要在浏览器扩展或陌生网站中提交密码。
对需要多人协作的场景，使用可区分责任和消费的独立账户或凭证，不共享管理员登录。
请求内容和隐私
模型请求会经过 COCO API 网关，并可能转发到对应上游服务。不要把中转服务理解为本地离线模型，也不要在未核实条款时假定内容「不留存」或「不用于训练」。
上传个人信息、商业机密、生产数据库内容或受监管数据前，应先确认站方和上游的数据处理规则及你的授权范围。不必要的敏感字段应先脱敏。
自建应用
密钥留在服务端，为自己的用户增加登录验证、权限、频率限制和费用预算。不要把无鉴权的转发接口放到公网，也不要将未经校验的任意上游地址与本站密钥组合转发。
始终使用 HTTPS 和正常证书校验。排查网络问题时，优先检查 DNS、代理和系统时间，不要把关闭证书验证当作解决方案。