API anahtarları ve kimlik doğrulama

Her istek bir API anahtarı içerir. Anahtarlar bir çalışma alanına bağlıdır ve onun bakiyesini kullanır; her anahtar için ayrı bütçe, model ve adres kısıtlamaları belirlenebilir.

Anahtarı gönderme

Her iki başlık da tüm uç noktalarda çalışır:

Authorization: Bearer zr_live_your_key_here
# or, as Anthropic's SDKs send it:
x-api-key: zr_live_your_key_here

Anahtarlar zr_live_ ile başlar. Anahtarın tamamı yalnızca oluşturduğunuzda gösterilir; biz sadece özetini (hash) saklarız, bu yüzden biz dahil kimse anahtarı size tekrar gösteremez. Kaybettiniz mi? İptal edip yenisini oluşturun.

Yapay zekâ ajanı bağlama

Bir ajan (OpenClaw, Hermes, Manus veya kendi ajanınız), kimsenin anahtar kopyalamasına gerek kalmadan kendi anahtarını alabilir: bir bağlantı ister, kullanıcısı zurelay.com üzerinden günlük limit belirleyerek onaylar ve ajan anahtarı alır. Televizyonda oturum açmaya benzer şekilde çalışır (OAuth cihaz akışı, RFC 8628). Bu iki çağrı için anahtar gerekmez.

curl -X POST https://api.zurelay.com/connect \
  -H "Content-Type: application/json" \
  -d '{"name": "OpenClaw"}'
{
  "status": "pending",
  "device_code": "zr_dc_…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://zurelay.com/connect",
  "verification_uri_complete": "https://zurelay.com/connect?code=WDJB-MJHT",
  "expires_in": 900,
  "interval": 2
}

Kullanıcıya verification_uri_complete ve kodu gösterin. Kullanıcı giriş yapar, kodun eşleştiğini kontrol eder, çalışma alanını ve günlük limiti seçer ve 15 dakika içinde onaylar. device_code yalnızca ajanda kalsın: anahtar bununla alınır.

curl -X POST https://api.zurelay.com/connect/key \
  -H "Content-Type: application/json" \
  -d '{"device_code": "zr_dc_…"}'
{
  "status": "approved",
  "api_key": "zr_live_…",
  "key_name": "OpenClaw",
  "workspace": "Acme",
  "daily_limit_usd": 10,
  "base_url": "https://api.zurelay.com/v1"
}

Anahtarları güvende tutma

• Anahtarları bir gizli bilgi yöneticisinde veya ortam değişkenlerinde saklayın, asla koda ya da depoya koymayın.
• Zurelay çağrılarını sunucunuzdan yapın. Tarayıcıya veya mobil uygulamaya eklenen bir anahtarı, uygulamaya erişen herkes okuyabilir.
• Her uygulama veya ortam için ayrı bir anahtar kullanın (örneğin, production ve staging), böylece diğerlerine dokunmadan birini iptal edebilirsiniz.
• Her anahtara yalnızca ihtiyacı olanı tanımlayın: bütçe, çağıracağı modeller, kullanılacağı adresler. Anahtar limitleri ve kuralları bölümüne bakın.
• Bir anahtar sızarsa API anahtarları bölümünden iptal edin. Bu anahtarla yapılan istekler 15 saniye içinde durdurulur.

Anahtara uygulanabilecek kısıtlamalar

Kimlik doğrulama hataları