Claves de API y autenticación

Cada solicitud lleva una clave de API. Las claves pertenecen a un espacio de trabajo y gastan su saldo; cada una puede limitarse a sus propios presupuestos, modelos y direcciones.

Enviar la clave

Cualquiera de las dos cabeceras funciona en todos los endpoints:

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

Las claves empiezan por zr_live_. La clave completa solo se ve una vez, al crearla; nosotros solo guardamos un hash, así que nadie (nosotros incluidos) puede mostrártela de nuevo. ¿La perdiste? Revócala y crea otra.

Conectar un agente de IA

Un agente (OpenClaw, Hermes, Manus o el tuyo propio) puede obtener su propia clave sin que nadie tenga que copiarla: pide un enlace, su persona lo aprueba en zurelay.com con un límite diario y el agente recoge la clave. Funciona como iniciar sesión en una TV (el flujo de dispositivo de OAuth, RFC 8628). No se necesita clave para estas dos llamadas.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Muéstrale a la persona el verification_uri_complete y el código. Inicia sesión, comprueba que el código coincide, elige el espacio de trabajo y un límite diario, y aprueba en un plazo de 15 minutos. No le pases device_code al agente: es lo que recoge la clave.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Mantener las claves seguras

• Guarda las claves en un gestor de secretos o en variables de entorno, nunca en el código ni en un repositorio.
• Llama a Zurelay desde tu servidor. Una clave en un navegador o en una app móvil puede leerla cualquiera que tenga la app.
• Usa una clave por app o entorno (por ejemplo, production y staging), así puedes revocar una sin tocar las demás.
• Dale a cada clave solo lo que necesita: un presupuesto, los modelos que llama, las direcciones desde las que se ejecuta. Consulta Límites y reglas de las claves.
• Si una clave se filtra, revócala en Claves de API. Las solicitudes que la usen dejan de funcionar en 15 segundos.

A qué se puede limitar una clave

Errores de autenticación