Роутер

Аутентификация и ключи

Как передать ключ

Каждый запрос к API подписывается ключом в заголовке Authorization:

Authorization: Bearer sk-...

Библиотеки с поддержкой OpenAI API добавляют этот заголовок сами — достаточно передать ключ в параметре api_key (apiKey).

SDK Anthropic передаёт ключ в заголовке x-api-key — он тоже принимается. Подробнее — в разделе Anthropic Messages.

Без ключа или с неверным ключом API отвечает 401.

Создание ключа

  1. В кабинете откройте раздел «Ключи» и нажмите «Создать ключ».
  2. Задайте название, по которому вы узнаете ключ в истории запросов, например «Бот поддержки» или «Сайт — прод».
  3. Выберите лимит расходов: без лимита или с лимитом в рублях.
  4. Скопируйте ключ. Полный ключ можно скопировать и позже из списка ключей.

Несколько ключей

Заведите отдельный ключ на каждый проект, сервис или сотрудника. Это даёт три преимущества:

  • в истории запросов видно, какой проект сколько тратит;
  • у каждого проекта свой потолок расходов;
  • при утечке достаточно удалить один ключ, остальные продолжат работать.

Все ключи тратят общий баланс аккаунта.

Лимит расходов на ключ

Лимит задаётся в рублях при создании ключа. Когда ключ потратит эту сумму, он перестанет работать, а остальной баланс аккаунта останется нетронутым. Ключ без лимита тратит баланс, пока тот не закончится.

В списке ключей для каждого видно, сколько он уже потратил и сколько осталось по лимиту.

Лимит особенно полезен:

  • для ключей, которые вы отдаёте подрядчику или ставите в чужой сервис;
  • для автоматических сценариев: ошибка в цикле не потратит весь баланс;
  • для тестов и экспериментов.

Когда лимит исчерпан, запросы с этим ключом получают ошибку 401 или 403 (см. Ошибки и лимиты). Чтобы продолжить, создайте новый ключ с нужным лимитом.

Как хранить ключ

  • Храните ключ в переменных окружения или в хранилище секретов, а не в коде.
  • Не отправляйте ключ в чаты и почту, не показывайте на скриншотах.
  • Не используйте ключ в коде, который выполняется в браузере или мобильном приложении: его там легко достать. Делайте запросы к API со своего сервера.

Если ключ утёк

  1. Сразу удалите ключ в разделе «Ключи». Запросы с ним перестанут проходить.
  2. Создайте новый ключ и замените его в своих сервисах.
  3. Проверьте в разделе «История», не было ли чужих запросов с этим ключом.
  4. Если увидели расход, которого не делали, напишите в поддержку kazhaevd@list.ru.