Cloudflare toont wanneer AI-providerkeys voor het laatst zijn gebruikt

Hoe bepaal je of je een lang opgeslagen API-key voor een model kunt verwijderen? Sinds 6 november 2026 toont Cloudflare AI Gateway voor opgeslagen providerkeys de alias, de datum van het laatste gebruik en de datum van de laatste wijziging. In het onderdeel Key security markeert het dashboard keys waarvan de geregistreerde activiteit meer dan 90 dagen geleden was. Voor teams die via de gateway meerdere keys beheren, levert dat een concrete lijst met records op om te controleren. De gebruiksgeschiedenis begint echter pas in november 2026.

Wat is er precies bijgekomen?

De update betreft providerkeys die zijn opgeslagen in AI Gateway. In de aankondiging van Cloudflare staat dat de keys per provider zijn gegroepeerd; daarnaast worden gemaskeerde waarden, aliassen en de datums van het laatste gebruik en de laatste wijziging weergegeven. Het onderdeel Key security markeert records waarvan de laatst geregistreerde activiteit meer dan 90 dagen geleden was. Cloudflare meldt dat het bijhouden van het gebruik in november 2026 is begonnen.

De datum van het laatste gebruik geeft aan wanneer de gateway voor het laatst het gebruik van een key heeft geregistreerd. De wijzigingsdatum laat zien wanneer het record is bijgewerkt. Dankzij de maskering en alias kun je een record herkennen zonder dat de geheime waarde in de lijst zichtbaar wordt. Dit is een inventarisatie en een signaal om iets te controleren, geen automatisch besluit over wat er met een key moet gebeuren.

Hoe lees je de activiteitsdatum?

Keys blijven vaak achter na een experiment, een overstap naar een andere provider of een migratie van een applicatie. Als een team ze in een centrale gateway bewaart, kan na verloop van tijd onduidelijk worden waarvoor elk record dient. Met de activiteitsdatum kun je prioriteiten stellen: controleer eerst keys die lang niet zijn gebruikt en stem daarna af met de eigenaar van de applicatie en de omgeving.

De drempel van 90 dagen geldt voor activiteit die het systeem heeft geregistreerd sinds het bijhouden in november 2026 begon. De markering geeft dus geen volledig beeld van het gebruik in de maanden daarvoor. Bovendien vragen zeldzame taken, back-uproutes en applicaties die buiten AI Gateway om contact maken met de provider om een aparte controle. Een back-upkey kan bijvoorbeeld maandenlang ongebruikt blijven, maar toch deel uitmaken van een herstelplan.

De BYOK-documentatie beschrijft hoe keys worden opgeslagen in Secrets Store en via AI Gateway worden gebruikt. Als je een key verwijdert, stoppen de verzoeken die ervan afhankelijk zijn onmiddellijk. Verwijder een record daarom pas nadat je hebt vastgesteld waarvoor het wordt gebruikt en welke afhankelijkheden er zijn; baseer die beslissing niet alleen op de ouderdom van de markering.

Hoe voer je veilig een audit uit?

1. Begin met de gemarkeerde keys. Maak een lijst van de records waarvan de laatst geregistreerde activiteit meer dan 90 dagen geleden was. Verwijder voorlopig niets.
2. Zoek de eigenaar en het doel. Vergelijk de alias met de gatewayconfiguraties en de teamdocumentatie en stel vast wie verantwoordelijk is voor de applicatie. Is het doel onbekend, achterhaal dat dan eerst.
3. Controleer waar de key wordt gebruikt. Ga na of de key nodig is voor een zeldzaam rapport, een back-uproute of een omgeving buiten AI Gateway. Het activiteitenoverzicht van de gateway geeft geen antwoord op die vragen.
4. Bereid een rotatie voor als de key nodig is. Maak een nieuwe key aan bij de provider en vervang het geheim in het bestaande AI Gateway-record. Volgens de documentatie blijven applicaties de bijgewerkte key via hetzelfde record gebruiken; controleer na vervanging of echte verzoeken goed werken.
5. Verwijder de key pas nadat je de afhankelijkheden hebt gecontroleerd. Controleer of de applicaties zijn overgezet of de key buiten gebruik is gesteld. Bij verwijdering stoppen de verzoeken die ervan afhankelijk zijn.

Stel dat een team een key ziet waarvan de laatste activiteit meer dan 90 dagen geleden was. De eigenaar stelt vast dat het record bij een testomgeving hoorde en dat de tests inmiddels naar een andere key zijn overgezet. Na controle van de configuratie kan het record worden verwijderd. Is de key nodig als back-up wanneer de primaire provider uitvalt, leg dan het doel en de eigenaar vast en behoud het record.

Wat betekent dit voor het team?

In plaats van de algemene herinnering ‘controleer oude keys’ krijgt het team voor elk record een datum van de laatst geregistreerde activiteit. Zo kan het bepalen waar de toegangscontrole begint, vooral wanneer het via AI Gateway keys van meerdere providers beheert.

Gebruik een markering ouder dan 90 dagen als aanleiding om een key te controleren, niet als opdracht om die te verwijderen. Stem het record af met de eigenaar, de applicatie en eventuele back-upscenario’s; bevestig daarna of de key nodig is, vervang het geheim bij rotatie of verwijder het na controle van de afhankelijkheden. Zo helpt het overzicht vergeten records op te sporen zonder werkende applicaties in gevaar te brengen.