キーと認証

すべてのエンドポイントで認証方法は共通です。

リクエストヘッダー

すべてのリクエストに Authorization ヘッダーを付けます。値は Bearer、半角スペース、キーの平文の順です：

Authorization: Bearer sk-あなたのキー

ヘッダーが無い、形式が違う、キーが未知または無効のいずれも 401 になり、code はそれぞれ missing_api_key と invalid_api_key です。

キーのライフサイクル

• 作成：「アカウント → API プラットフォーム」から自分で作成。1 アカウントにつき最大 10 個。
• 無効化：編集ダイアログのスイッチをオフに。呼び出しは即座に拒否されますが、記録は残り、いつでも再度有効にできます。
• 削除：即座に反映され、取り消せません。本番で使っているものが無いか必ず確認してください。
• 名前変更：自分が見分けるためだけのもので、キー自体は変わりません。

取り扱いの指針

• サーバー側だけで使う。キーはアカウントと同義で、あなたのクレジットを直接消費します。フロントエンドのコード、アプリのバンドル、公開リポジトリには絶対に置かないでください。
• 用途ごとに分ける。サービスや環境ごとに 1 本ずつ作れば、漏れたときにその 1 本だけ止められ、他の呼び出し元は動き続けます。
• 「最終利用」を定期的に見る。各キーの最後の呼び出し日時と送信元 IP が記録されます。見覚えのない IP があれば、その場で削除して作り直してください。