Chaves de API e autenticação

Cada pedido inclui uma chave de API. As chaves pertencem a um espaço de trabalho e consomem o respetivo saldo; cada uma pode ter os seus próprios limites de despesa, modelos e endereços permitidos.

Enviar a chave

Qualquer um dos cabeçalhos funciona em todos os endpoints:

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

As chaves começam por zr_live_. A chave completa só é apresentada uma vez, quando a cria; guardamos apenas um hash, pelo que ninguém (nem nós) a pode voltar a mostrar. Perdeu-a? Revogue-a e crie outra.

Ligar um agente de IA

Um agente (OpenClaw, Hermes, Manus ou um criado por si) pode obter a sua própria chave sem que ninguém tenha de a copiar: pede um link, a pessoa responsável aprova o acesso em zurelay.com com um limite diário e o agente obtém a chave. Funciona como iniciar sessão numa TV (fluxo de dispositivo do OAuth, RFC 8628). Estas duas chamadas não precisam de chave.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Mostre à pessoa verification_uri_complete e o código. A pessoa inicia sessão, confirma que o código corresponde, escolhe o espaço de trabalho e um limite diário e aprova no prazo de 15 minutos. Reserve device_code para o agente: é com ele que obtém a chave.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Manter as chaves seguras

• Guarde as chaves num gestor de segredos ou em variáveis de ambiente, nunca no código ou num repositório.
• Faça as chamadas à Zurelay a partir do seu servidor. Uma chave num navegador ou numa aplicação móvel pode ser lida por qualquer pessoa que tenha a aplicação.
• Use uma chave por aplicação ou ambiente (por exemplo, production e staging), para poder revogar uma sem afetar as outras.
• Dê a cada chave apenas o necessário: um orçamento, os modelos que pode usar e os endereços a partir dos quais pode ser usada. Consulte Limites e regras das chaves.
• Se uma chave for exposta, revogue-a em Chaves de API. Os pedidos com essa chave deixam de ser aceites no prazo de 15 segundos.

Limites que pode definir para uma chave

Erros de autenticação