Kunci API dan autentikasi

Setiap permintaan menyertakan kunci API. Kunci terikat pada ruang kerja dan menggunakan saldonya; setiap kunci dapat memiliki batas anggaran, model, dan alamat sendiri.

Mengirim kunci

Kedua header bisa digunakan di semua endpoint:

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

Kunci diawali dengan zr_live_. Kunci lengkap hanya ditampilkan sekali, saat Anda membuatnya; kami hanya menyimpan hash, jadi tidak ada yang bisa menampilkannya lagi, termasuk kami. Hilang? Cabut kunci tersebut dan buat yang baru.

Menghubungkan agen AI

Agen (OpenClaw, Hermes, Manus, atau buatan Anda sendiri) bisa mendapatkan kuncinya sendiri tanpa perlu disalin oleh siapa pun: agen meminta tautan, penggunanya menyetujui di zurelay.com dengan batas harian, lalu agen mengambil kuncinya. Prosesnya seperti masuk ke akun di TV (alur perangkat OAuth, RFC 8628). Kedua panggilan ini tidak memerlukan kunci.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Tampilkan verification_uri_complete dan kode kepada pengguna. Pengguna lalu masuk, memastikan kodenya cocok, memilih ruang kerja dan batas harian, lalu menyetujui dalam 15 menit. Simpan device_code hanya di agen: kode ini digunakan untuk mengambil kunci.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Menjaga keamanan kunci

• Simpan kunci di pengelola rahasia atau variabel lingkungan, jangan pernah di kode atau repositori.
• Panggil Zurelay dari server Anda. Kunci di browser atau aplikasi seluler dapat dibaca oleh siapa pun yang memiliki aplikasi tersebut.
• Gunakan satu kunci untuk setiap aplikasi atau lingkungan (misalnya, production dan staging), agar Anda dapat mencabut satu kunci tanpa memengaruhi yang lain.
• Batasi setiap kunci sesuai kebutuhannya: anggaran, model yang dipanggil, dan alamat tempat kunci digunakan. Lihat Batas dan aturan kunci.
• Jika kunci bocor, cabut di halaman kunci API. Permintaan yang menggunakannya akan dihentikan dalam 15 detik.

Batasan yang dapat diterapkan pada kunci

Kesalahan autentikasi