Cloudflare zeigt jetzt, wann KI-Provider-Schlüssel zuletzt verwendet wurden

Wie lässt sich feststellen, ob ein lange gespeicherter API-Schlüssel für ein Modell gelöscht werden kann? Seit dem 6. November 2026 zeigt Cloudflare AI Gateway für gespeicherte Provider-Schlüssel den Alias, das Datum der letzten Verwendung und das Datum der letzten Aktualisierung an. Im Bereich Key security hebt die Oberfläche Schlüssel hervor, für die seit mehr als 90 Tagen keine Aktivität erfasst wurde. Für Teams, die mehrere Schlüssel über das Gateway verwalten, ergibt sich so eine konkrete Liste von Einträgen für ein Audit. Der Nutzungsverlauf beginnt allerdings erst im November 2026.

Was ist neu?

Die Aktualisierung betrifft Provider-Schlüssel, die in AI Gateway gespeichert sind. In der Ankündigung von Cloudflare heißt es, dass die Schlüssel nach Providern gruppiert sind; daneben werden maskierte Werte, Aliase sowie die Daten der letzten Verwendung und Änderung angezeigt. Der Bereich Key security hebt Einträge hervor, bei denen die letzte erfasste Aktivität mehr als 90 Tage zurückliegt. Cloudflare zufolge begann die Erfassung der Nutzung im November 2026.

Das Datum der letzten Verwendung zeigt, wann das Gateway den Schlüssel zuletzt als verwendet erfasst hat. Das Änderungsdatum zeigt, wann der Eintrag aktualisiert wurde. Maske und Alias helfen dabei, den Eintrag zu erkennen, ohne den geheimen Wert in der Liste offenzulegen. Es handelt sich um eine Bestandsübersicht und einen Prüfhinweis, nicht um eine automatische Entscheidung über den Schlüssel.

Wie ist das Aktivitätsdatum zu verstehen?

Schlüssel bleiben oft nach einem Experiment, einem Anbieterwechsel oder der Migration einer Anwendung bestehen. Werden sie zentral in einem Gateway gespeichert, kann es mit der Zeit schwierig werden, sich an den Zweck jedes Eintrags zu erinnern. Das Aktivitätsdatum hilft dabei, die Prüfung zu priorisieren: zuerst lange nicht verwendete Schlüssel kontrollieren, anschließend mit der zuständigen Person für Anwendung und Umgebung abgleichen.

Der Schwellenwert von 90 Tagen bezieht sich auf Aktivitäten, die das System seit Beginn der Erfassung im November 2026 registriert hat. Die Markierung bildet daher nicht den vollständigen Nutzungsverlauf der vorherigen Monate ab. Außerdem müssen seltene Aufgaben, Ausweichrouten oder Anwendungen, die den Provider außerhalb von AI Gateway aufrufen, gesondert geprüft werden. Ein Ersatzschlüssel kann beispielsweise monatelang ungenutzt bleiben und dennoch Teil des Wiederherstellungsplans sein.

Die BYOK-Dokumentation beschreibt, wie Schlüssel im Secrets Store gespeichert und über AI Gateway verwendet werden. Wird ein Schlüssel gelöscht, werden davon abhängige Anfragen sofort unterbrochen. Deshalb sollte ein Eintrag erst nach Klärung seines Zwecks und seiner Abhängigkeiten gelöscht werden – nicht allein wegen des Alters der Markierung.

Wie lässt sich ein Audit sicher durchführen?

1. Beginnen Sie mit den markierten Schlüsseln. Erstellen Sie eine Liste der Einträge, deren letzte erfasste Aktivität mehr als 90 Tage zurückliegt. Löschen Sie zunächst nichts.
2. Ermitteln Sie Zuständigkeit und Zweck. Gleichen Sie den Alias mit den Gateway-Konfigurationen und der Teamdokumentation ab und finden Sie heraus, wer für die Anwendung verantwortlich ist. Ist der Zweck unbekannt, klären Sie ihn zuerst.
3. Prüfen Sie, wo der Schlüssel verwendet wird. Klären Sie, ob er einen seltenen Bericht, eine Ausweichroute oder eine Umgebung außerhalb von AI Gateway bedient. Das Aktivitätsprotokoll des Gateways beantwortet diese Fragen nicht.
4. Wenn der Schlüssel benötigt wird, planen Sie eine Rotation. Erstellen Sie beim Provider einen neuen Schlüssel und ersetzen Sie das Secret im bestehenden AI-Gateway-Eintrag. Laut Dokumentation verwenden die Anwendungen den aktualisierten Schlüssel weiterhin über denselben Eintrag; prüfen Sie nach dem Austausch, ob reale Anfragen funktionieren.
5. Löschen Sie erst nach der Prüfung der Abhängigkeiten. Stellen Sie sicher, dass die Anwendungen umgestellt oder der Schlüssel außer Betrieb genommen wurden. Beim Löschen werden davon abhängige Anfragen unterbrochen.

Angenommen, ein Team sieht einen Schlüssel, dessen letzte Aktivität mehr als 90 Tage zurückliegt. Die zuständige Person stellt fest, dass der Eintrag zu einer Testumgebung gehörte und die Tests bereits auf einen anderen Schlüssel umgestellt wurden. Nach Prüfung der Konfiguration kann der Eintrag gelöscht werden. Wird der Schlüssel als Ersatz für den Ausfall des Hauptproviders benötigt, sollte sein Zweck dokumentiert und eine zuständige Person benannt werden; der Eintrag bleibt dann bestehen.

Was bedeutet das für Teams?

Statt einer allgemeinen Aufforderung wie „Prüft alte Schlüssel“ erhalten Teams für jeden Eintrag das Datum der letzten erfassten Aktivität. So können sie entscheiden, womit sie die Zugriffsprüfung beginnen – besonders dann, wenn sie über AI Gateway Schlüssel mehrerer Provider verwalten.

Nutzen Sie die Markierung „mehr als 90 Tage“ als Anlass, einen Schlüssel zu prüfen, nicht als Aufforderung, ihn zu löschen. Gleichen Sie den Eintrag mit der zuständigen Person, der Anwendung und den Ausfallszenarien ab; bestätigen Sie anschließend, ob er benötigt wird, ersetzen Sie das Secret bei einer Rotation oder löschen Sie es nach Prüfung der Abhängigkeiten. So hilft das Protokoll, vergessene Einträge aufzuspüren, ohne laufende Anwendungen zu gefährden.