Apakah Aman Menggunakan Kunci API Sendiri di Aplikasi Papan Ketik?

Menghubungkan kunci penyedia AI Anda sendiri ke aplikasi papan ketik menimbulkan pertanyaan yang wajar: apakah aman memberikan akses sebesar itu kepada papan ketik pihak ketiga? Jawaban singkatnya, risikonya hampir seluruhnya berasal dari satu izin iOS — Akses Penuh — dan memahami apa yang diizinkan serta apa yang tidak diizinkannya adalah kunci untuk menggunakan BYOK dengan aman.

Mengapa papan ketik AI membutuhkan Akses Penuh

Secara default, iOS memperlakukan papan ketik pihak ketiga sebagai lingkungan sandbox: papan ketik tersebut tidak dapat membuat permintaan jaringan dan hanya memiliki akses terbatas ke sistem. Sandbox ini merupakan pengaturan awal yang baik, tetapi juga memblokir apa pun yang perlu terhubung ke internet — termasuk mengirim teks Anda ke penyedia AI untuk ditulis ulang. Agar fitur AI apa pun dapat berfungsi, baik AI bawaan QKeyboard maupun kunci BYOK Anda sendiri, iOS mengharuskan Anda memberikan Akses Penuh kepada papan ketik. Tidak ada cara untuk melewati persyaratan ini — ini adalah aturan platform iOS, bukan pilihan yang dibuat oleh aplikasi papan ketik tertentu.

Apa yang sebenarnya diizinkan Akses Penuh

Akses Penuh mengizinkan ekstensi papan ketik untuk:

• Membuat permintaan jaringan, misalnya mengirim teks ke penyedia AI untuk ditulis ulang.
• Mengakses fitur iOS seperti Keychain, yang diperlukan untuk menyimpan kunci API dengan aman.

Dengan sendirinya, Akses Penuh tidak berarti papan ketik dapat:

• Membaca kata sandi atau isi aplikasi lain.
• Mengakses kamera, mikrofon, atau lokasi tanpa izin terpisah untuk masing-masingnya.
• Melihat apa pun yang Anda ketik di luar saat papan ketik sedang aktif.

Dengan kata lain, Akses Penuh memungkinkan jaringan dan penyimpanan aman — apa yang dilakukan papan ketik dengan akses tersebut sepenuhnya bergantung pada cara aplikasi itu dibuat dan apa yang dikirimkannya melalui jaringan. Karena itu, berikan Akses Penuh hanya kepada papan ketik dari pengembang yang Anda percaya, dan periksa data yang menurut keterangan aplikasi dikumpulkannya. Untuk melihat cara QKeyboard menangani hal ini secara khusus, baca penjelasan lengkap kami tentang privasi papan ketik dan Akses Penuh.

Mengapa menyimpan kunci di Keychain itu penting

Dengan BYOK, kunci API Anda disimpan di Keychain perangkat — penyimpanan aman dan terenkripsi yang sama dengan yang digunakan iOS untuk kata sandi dan detail pembayaran — bukan dikirim ke atau disimpan di server QKeyboard sendiri. Perbedaan ini penting karena dua alasan:

• Tanpa perantara. Permintaan tulis ulang dikirim langsung dari perangkat Anda ke penyedia AI pilihan menggunakan kunci Anda. Pembuat papan ketik tidak pernah melihat kunci itu dan tidak pernah meneruskan teks Anda melalui servernya sendiri.
• Perlindungan di tingkat perangkat. Entri Keychain dienkripsi saat tersimpan dan terikat ke perangkat Anda, sehingga kunci tidak berada dalam berkas teks biasa yang dapat dibaca aplikasi lain atau diekstrak begitu saja dari cadangan.

Praktik baik saat menggunakan BYOK

Menyimpan kunci dengan aman hanyalah separuh dari keseluruhan gambaran. Beberapa kebiasaan berikut membuat BYOK jauh lebih aman dalam praktik:

1. Tetapkan batas pengeluaran di dasbor penyedia. Sebagian besar penyedia AI memungkinkan Anda membatasi pengeluaran bulanan atau mengatur peringatan penggunaan. Ini membatasi paparan Anda jika kunci disalahgunakan, apa pun penyebabnya.
2. Ganti kunci secara berkala. Membuat kunci baru setiap beberapa bulan dan mencabut kunci lama adalah cara sederhana untuk mengurangi dampak kunci yang mungkin pernah terekspos di suatu tempat tanpa Anda sadari.
3. Gunakan kunci dengan satu tujuan. Jika penyedia mendukung penamaan atau pembatasan cakupan kunci, buat satu kunci khusus untuk QKeyboard, bukan menggunakan kembali kunci yang dipakai bersama beberapa alat.
4. Berikan Akses Penuh hanya kepada papan ketik yang Anda percaya. Tinjau pengembangnya, praktik privasi yang dinyatakan aplikasi, dan apakah permintaan izin tersebut masuk akal untuk fungsi aplikasinya.
5. Hapus kunci jika Anda berhenti menggunakan aplikasi. Menghapus papan ketik akan menghapus kunci dari Keychain, tetapi jika Anda berganti penyedia atau berhenti menggunakan BYOK, mencabut kunci dari sisi penyedia adalah cara yang rapi untuk menutup aksesnya.

Kesimpulannya

BYOK tidak terlalu memperkenalkan kategori risiko baru, melainkan mengubah tempat Anda menaruh kepercayaan: alih-alih mempercayakan teks kepada server pembuat papan ketik, Anda mempercayakannya langsung kepada penyedia AI pilihan, dengan kunci Anda sendiri yang disimpan di perangkat Anda sendiri. Akses Penuh diperlukan agar semua ini dapat berjalan, tetapi yang penting adalah bagaimana akses tersebut digunakan — papan ketik yang menyimpan kunci Anda di Keychain dan mengirimkan permintaan langsung ke penyedia, tanpa melewati servernya sendiri, mengikuti pola yang lebih aman.