認証

計画的なキーの交換

漏えいが疑われるキーは、新しいキーへの移行を待たず直ちに失効させます。通常の計画的な交換では、新しいキーを作成し、アプリを切り替えて動作確認した後に旧キーを失効させます。

キーの送信方法

すべての /api/v1 リクエストで Authorization: Bearer sk-spicy-… を送信します。公開 API、ユーザーコンソール、運用管理画面は別々の認証領域であり、認証情報を相互利用できません。互換 API（/v1 と /v1beta）では、Anthropic SDK が使う x-api-key と Google GenAI SDK が使う x-goog-api-key も受け付けます。URL のクエリに含めたキーはどの API でも受け付けません。

安全な保管と制限

キーは自社バックエンドまたはシークレット管理サービスにのみ保管してください。環境ごとに別のキーを使うと、他の環境を止めずに失効・ローテーションできます。

• 日次・月次・累計の利用上限で想定外の支出を抑える
• 固定した送信元がある場合は IP allowlist を設定する
• 用途ごとに model allowlist と支出上限を最小権限で設定する

漏えいした場合

直ちに旧キーを無効化し、新しいキーへトラフィックを切り替えます。コンソールの taskId、request_id、送信元 IP、利用モデル、請求額を確認してください。無効なキーは HTTP 401 を返します。