值班交接：新密钥接流量，旧密钥确认停用后再撤销

本班目标是换凭据，不是停服务

接口密钥可以理解为程序调用服务时出示的通行证。更换密钥，既要让程序拿到新通行证，也要让旧通行证最终失效。只更新配置、不撤销旧密钥，并不算完成退役。官方凭据管理指南也把更新调用方、停用旧凭据和最终删除分成不同步骤。([aws.amazon.com](https://aws.amazon.com/blogs/security/how-to-rotate-access-keys-for-iam-users/?utm_source=openai))

本次操作建议采用先建立新通路，再关闭旧通路的顺序。目标是避免主动中断服务，而不是承诺绝不会发生故障。能否平滑切换，取决于平台能力、应用部署方式和验证是否充分。

先确认平台允许新旧密钥同时工作

不要看到“重新生成”就直接点击。不同平台的操作含义可能不同：有些操作会立即撤销旧密钥，有些允许设置过期时间。开始前，应确认能否创建第二把密钥，以及旧密钥何时失效。([support.stripe.com](https://support.stripe.com/questions/how-do-i-roll-change-update-my-stripe-api-key?utm_source=openai))

如果平台只允许一把有效密钥，又没有过渡机制，就不要把这次变更称为无停机轮换。建议先寻找平台支持的迁移路径，必要时安排维护窗口，而不是依靠反复重试掩盖认证失败。

把所有使用旧密钥的地方列入交接单

建议先列出网站后端、后台任务、开发终端、自动部署流程和定时脚本，并为每项注明负责人、配置位置及更新方式。检查范围不应只限于眼前正在运行的服务。

• 建议分别记录开发环境和生产环境的配置入口，避免把测试成功误当成生产已经切换。
• 建议确认修改配置后是否需要重启进程，不要假设保存环境变量就能更新正在运行的程序。
• 建议在交接单中只记录密钥标识和存储位置，不要粘贴完整密钥。

密钥应保存在受控的秘密存储或环境配置中，不应进入代码仓库、浏览器端代码或普通日志。密钥安全指南也明确建议避免客户端暴露，并使用环境变量等方式管理凭据。([help.openai.com](https://help.openai.com/en/articles/5112595-best-practices-for-api-key-safety?utm_source=openai))

新密钥先跑一小段真实调用链

建议先让一个测试实例使用新密钥，完成一笔低成本、无破坏性的请求。检查的不只是能否通过认证，还应包括应用实际需要的权限、响应处理和错误记录。

确认成功后，再逐批更新生产实例，每批完成后观察认证失败和业务请求结果。新旧密钥并行期间，应保留明确的结束条件；官方轮换流程同样强调先更新应用并验证新凭据，再停用旧凭据。([support.stripe.com](https://support.stripe.com/questions/protecting-against-compromised-api-keys?utm_source=openai))

建议把长连接、流式响应和后台队列纳入本次验证，不要仅凭一次成功请求就宣布完成。对于本次变更，最好只替换密钥，暂不同时更换模型、接口地址或请求参数，以便出现问题时缩小排查范围。

旧密钥没有流量后，才进入退役检查

平台若提供按密钥查看请求或最后使用时间的能力，应据此寻找遗漏的调用方。监控凭据使用情况，是识别旧密钥和闲置密钥的重要手段。([repost.aws](https://repost.aws/en/knowledge-center/manage-iam-access-keys-securely?utm_source=openai))

观察窗口建议覆盖自己的任务周期。每晚执行的脚本还没运行，白天没有旧密钥请求，并不足以证明迁移完成。若平台支持可恢复的停用，可以先停用并继续检查；确认无遗漏后再删除。这样的顺序也便于在普通变更出错时恢复。([aws.amazon.com](https://aws.amazon.com/blogs/security/how-to-rotate-access-keys-for-iam-users/?utm_source=openai))

疑似泄露不应沿用宽松的观察窗口。官方安全指南建议发现泄露后立即轮换。此时应优先阻止未授权使用，不要为了保留回退路径而继续使用已经暴露的凭据。([help.openai.com](https://help.openai.com/en/articles/5112595-best-practices-for-api-key-safety?utm_source=openai))

交班时留下撤销证据和待检查事项

如果你需要按量使用多个模型家族，可以考虑 Relay365 这样的中转服务，让调用入口更集中。不过，统一入口不等于自动完成密钥轮换；操作前仍应确认平台是否支持多密钥、用量追踪和撤销机制。你可以创建一个 Relay365 账户，先在测试环境验证接入与换钥流程。

最后，建议在交接单写清新密钥启用时间、已更新的调用方、旧密钥撤销时间，以及撤销后的业务检查结果。本班完成的标志不是“配置改过了”，而是新凭据已经接管调用，旧凭据已经退出使用，并且后续值班人员知道去哪里核查。