Аутентификация

Bearer-ключи, безопасное хранение, ограничения и ротация.

Публичный API (/api/v1) принимает только Bearer-ключ в заголовке Authorization. Cookies и параметры строки запроса для аутентификации не поддерживаются.

API

Authorization: Bearer sk-spicy-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Плановая смена ключа

При подозрении на утечку немедленно отзовите ключ, не дожидаясь переноса трафика. При плановой ротации без инцидента сначала создайте новый ключ, переключите приложение, проверьте его работу и затем отзовите старый.

Передача ключа

Во всех запросах /api/v1 отправляйте Authorization: Bearer sk-spicy-…. Публичный API, пользовательская консоль и панель управления используют разные контуры аутентификации; их данные доступа несовместимы. Совместимые API под /v1 и /v1beta также принимают x-api-key (Anthropic SDK) и x-goog-api-key (Google GenAI SDK). Ключ в строке запроса URL не принимается ни одним API.

Хранение и ограничения

Храните ключи только в своем backend или менеджере секретов. Отдельный ключ для каждого окружения можно отозвать или заменить, не останавливая остальные.

Установите дневной, месячный и общий лимиты расходов.
Используйте IP allowlist при фиксированных исходящих адресах.
Ограничьте model allowlist и пределы расходов необходимым минимумом.

Если ключ утек

Немедленно отключите старый ключ, переведите трафик на новый и проверьте taskId, request_id, исходные IP, модели и расходы в консоли. Недействительный ключ возвращает HTTP 401.

Полные определения полей приведены в контракте OpenAPI 3.1.