API-sleutels en authenticatie

Elk verzoek bevat een API-sleutel. Sleutels horen bij een werkruimte en gebruiken het saldo daarvan; voor elke sleutel kun je aparte limieten voor budgetten, modellen en adressen instellen.

De sleutel meesturen

Beide headers werken op elk endpoint:

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

Sleutels beginnen met zr_live_. Je ziet de volledige sleutel maar één keer, wanneer je hem aanmaakt; we bewaren alleen een hash, dus niemand (ook wij niet) kan hem daarna nog tonen. Kwijt? Trek hem in en maak een nieuwe aan.

Een AI-agent verbinden

Een agent (OpenClaw, Hermes, Manus van je eigen agent) kan een eigen sleutel krijgen zonder dat iemand die hoeft te kopiëren: de agent vraagt een link aan, de gebruiker geeft op zurelay.com toestemming met een daglimiet en de agent haalt de sleutel op. Het werkt zoals inloggen op een tv (de device flow van OAuth, RFC 8628). Voor deze twee aanroepen is geen sleutel nodig.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Toon de gebruiker verification_uri_complete en de code. Die logt in, controleert of de code overeenkomt, kiest de werkruimte en een daglimiet, en geeft binnen 15 minuten toestemming. Houd device_code bij de agent: daarmee haalt die de sleutel op.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Sleutels veilig bewaren

• Bewaar sleutels in een secretmanager of omgevingsvariabelen, nooit in code of een repository.
• Roep Zurelay aan vanaf je server. Een sleutel in een browser of mobiele app is leesbaar voor iedereen die de app heeft.
• Gebruik één sleutel per app of omgeving (bijvoorbeeld production en staging), zodat je er één kunt intrekken zonder de andere te beïnvloeden.
• Geef elke sleutel alleen wat nodig is: een budget, de modellen die hij aanroept en de adressen waarvandaan hij wordt gebruikt. Zie Limieten en regels voor sleutels.
• Als een sleutel uitlekt, trek je die in onder API-sleutels. Verzoeken met die sleutel worden binnen 15 seconden geblokkeerd.

Wat je voor een sleutel kunt beperken

Authenticatiefouten