API キーと認証

すべてのリクエストに API キーが必要です。キーはワークスペースに属し、その残高を使用します。キーごとに予算、モデル、アクセス元アドレスを制限できます。

キーを送信する

どのエンドポイントでも、次のいずれかのヘッダーを使用できます：

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

キーは zr_live_ で始まります。完全なキーを確認できるのは作成時の一度だけです。保存するのはハッシュのみなので、私たちを含め誰も再表示できません。紛失した場合は、キーを無効にして新しく作成してください。

AI エージェントを接続する

エージェント（OpenClaw、Hermes、Manus、自作のエージェント）は、誰かがキーをコピーしなくても、専用のキーを取得できます。エージェントが承認用リンクを発行し、ユーザーが zurelay.com で日次上限を設定して承認すると、エージェントがキーを受け取ります。テレビでのサインインと同じ仕組みです（OAuth のデバイスフロー、RFC 8628）。この 2 つの呼び出しにキーは必要ありません。

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

ユーザーにverification_uri_completeとコードを表示します。ユーザーはサインインし、コードが一致することを確認して、ワークスペースと1日の上限額を選び、15分以内に承認します。device_codeはエージェントに渡したままにしてください。キーの取得に使います。

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

キーを安全に管理する

• キーはシークレットマネージャーか環境変数に保存し、コードやリポジトリには含めないでください。
• Zurelay はサーバーから呼び出してください。ブラウザやモバイルアプリに含めたキーは、アプリを持つ人なら誰でも読み取れます。
• アプリや環境ごとにキーを分けてください（例: production と staging）。ほかのキーに影響を与えずに、個別に取り消せます。
• 各キーには必要な権限だけを与えてください。予算、利用するモデル、実行元のアドレスを制限できます。詳しくは キーの制限とルール をご覧ください。
• キーが漏洩した場合は、API キーのページで取り消してください。そのキーを使ったリクエストは 15 秒以内に停止します。

キーに設定できる制限

認証エラー