OPENAI AUDIT · ADMIN API · BETA

Welke API keys zijn vergeten in jouw OpenAI org?

We pullen users, projects, API keys en audit-log uit OpenAI's Platform admin API. Krijg een lijst van keys die >90 dagen ongebruikt zijn (= leak-risico), zie wie wat heeft toegevoegd, en exporteer maandelijks een getekend evidence pack voor je auditor.

Open dashboard →Setup-gids

Waarom dit nodig is

Een stale API key is een breach wachten te gebeuren.

OpenAI's admin API toont je alle keys per project met een `last_used_at` timestamp. In de praktijk:

Een dev maakte 2 jaar geleden een key voor een POC, vergat hem, deed `git commit -a`.
Een service account key staat in een .env file van een afgeserveerde Heroku app.
Een gebruiker is uit dienst maar hun user-keys zijn nooit ingetrokken.

monsys highlight elke key die >90 dagen niet gebruikt is + waar de owner uit de org is. Plus een audit-log van wie wat heeft gewijzigd. Voor wanneer je auditeur vraagt: 'bewijs me dat je geen orphan keys hebt'.

Hoe het werkt

Eén admin key, ééns per uur volledige snapshot.

Mint een Organization Admin Key

platform.openai.com → Settings → Organization → Admin Keys → Create. Niet een user-key — een Admin Key heeft toegang tot /v1/organization/* endpoints. Roteer elke 90 dagen.

Plak in monsys

Dashboard → OpenAI Audit → '+ Org verbinden'. We verifiëren via een test-call. Admin key wordt AES-256-GCM versleuteld.

Hourly snapshot

Worker pullt users + projects + per-project API keys + audit_logs. Snapshots vervangen elke pull; events worden append-only met dedup op event_id.

Evidence pack op aanvraag

POST /api/v1/openai/evidence-packs voor een periode → gzipped tarball met users.jsonl + projects.jsonl + api_keys.jsonl + events.jsonl + signed manifest.

Wat we wel/niet bewaren

E-mails gehasht. Inhoud van prompts/completions zien we niet.

WEL bewaard

OpenAI user IDs (user_…) + SHA256 van e-mailadres + 4-char e-mail prefix voor display
Project IDs (proj_…), namen, status (active/archived), created/archived timestamps
API key IDs (key_…), redacted value (sk-...xxxx, 4 chars), type (user/service_account), created + last_used
Audit events: api_key.created, user.added, project.created, login.failure, etc. met actor-hash + target_id + timestamp

NIET bewaard

Volledige e-mailadressen — gedropt bij ingest
De API key value zelf — alleen sk-...4-char redacted versie
Wat een API key heeft aangeroepen (prompts/completions) — niet in admin API
ChatGPT browser-conversaties — vereist Compliance API (Q4 2026)

Pricing

€1 per user + €5 per project per maand.

Per-user en per-project apart afgerekend omdat het de twee cost drivers zijn: users = audit log volume, projects = API-key inventaris-overhead. Dagelijkse snapshot, gemiddelde over de maand.

Voorbeeld: 25 users, 3 active projects → factuur: 25 × €1 + 3 × €5 = €40/maand.

Maandelijks via Stripe — aparte line item 'monsys.ai OpenAI Audit — N users × €1 + M projects × €5'.

Open dashboard →Volledige setup-gids