Chaves de API e autenticação

Toda requisição leva uma chave de API. As chaves pertencem a um espaço de trabalho e consomem seu saldo; cada uma pode ter seus próprios limites de gastos, modelos e endereços.

Como enviar a chave

Qualquer um dos cabeçalhos funciona em todos os endpoints:

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

As chaves começam com zr_live_. Você vê a chave completa uma única vez, ao criá-la; guardamos apenas um hash, então ninguém (nem nós) pode mostrá-la de novo. Perdeu a chave? Revogue e crie outra.

Como conectar um agente de IA

Um agente (OpenClaw, Hermes, Manus ou o seu próprio) pode obter uma chave sem que ninguém precise copiá-la: ele solicita um link, a pessoa responsável aprova em zurelay.com com um limite diário, e o agente recebe a chave. Funciona como fazer login em uma TV (fluxo de dispositivo do OAuth, RFC 8628). Essas duas chamadas não exigem chave.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Mostre à pessoa verification_uri_complete e o código. Ela faz login, confere se o código é o mesmo, escolhe o workspace e um limite diário e aprova em até 15 minutos. Mantenha device_code restrito ao agente: é ele que permite obter a chave.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Como manter as chaves seguras

• Guarde as chaves em um gerenciador de segredos ou em variáveis de ambiente, nunca no código ou em um repositório.
• Faça as chamadas à Zurelay pelo seu servidor. Uma chave no navegador ou em um app móvel pode ser lida por qualquer pessoa que tenha o app.
• Use uma chave por app ou ambiente (por exemplo, production e staging), para poder revogar uma sem afetar as outras.
• Dê a cada chave apenas o necessário: um orçamento, os modelos que ela chama e os endereços em que é usada. Veja Limites e regras de chaves.
• Se uma chave vazar, revogue-a em Chaves de API. As requisições com ela são bloqueadas em até 15 segundos.

Limites que você pode aplicar a uma chave

Erros de autenticação