Clés API et authentification

Chaque requête contient une clé API. Les clés appartiennent à un espace de travail et consomment son solde ; chacune peut avoir ses propres budgets, modèles et adresses autorisés.

Envoi de la clé

Les deux en-têtes fonctionnent sur tous les endpoints :

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

Les clés commencent par zr_live_. La clé complète ne s’affiche qu’une fois, à sa création ; nous ne conservons qu’un hachage, donc personne (pas même nous) ne peut vous la montrer à nouveau. Vous l’avez perdue ? Révoquez-la et créez-en une autre.

Connexion d’un agent IA

Un agent (OpenClaw, Hermes, Manus ou le vôtre) peut obtenir sa propre clé sans que personne ait à en copier une : il demande un lien, la personne qui l’utilise l’autorise sur zurelay.com avec une limite quotidienne, puis l’agent récupère la clé. Le principe est le même que pour se connecter sur une TV (flux d’autorisation des appareils OAuth, RFC 8628). Ces deux appels ne nécessitent aucune clé.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Affichez verification_uri_complete et le code à la personne. Elle se connecte, vérifie que le code correspond, choisit l’espace de travail et une limite quotidienne, puis donne son autorisation dans les 15 minutes. Réservez device_code à l’agent : c’est ce qui lui permet de récupérer la clé.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Protéger vos clés

• Conservez vos clés dans un gestionnaire de secrets ou des variables d’environnement, jamais dans du code ou un dépôt.
• Appelez Zurelay depuis votre serveur. Une clé intégrée à un navigateur ou à une application mobile peut être lue par toute personne ayant accès à l’application.
• Utilisez une clé par application ou environnement (par exemple, production et staging), pour pouvoir en révoquer une sans toucher aux autres.
• Limitez chaque clé au nécessaire : un budget, les modèles qu’elle appelle, les adresses depuis lesquelles elle est utilisée. Voir Limites et règles des clés.
• Si une clé fuite, révoquez-la dans la rubrique Clés API. Les requêtes utilisant cette clé sont bloquées sous 15 secondes.

Les limites applicables à une clé

Erreurs d’authentification