Аутентификация

Ключ передаётся заголовком. Других способов нет: ни query-параметра, ни куки — ключ в URL попадает в логи прокси и в историю браузера.

Заголовок

bash

curl https://zerno.one/api/v1/models \
  -H "Authorization: Bearer $ZERNO_API_KEY"

Ключ начинается с sk-if-v1-. В кабинете виден только префикс: полный ключ показывается один раз при выпуске и не восстанавливается. Потеряли — выпустите новый и отзовите старый.

Разделение окружений

Ключей можно выпустить сколько угодно, и это дешевле, чем разбираться потом. У каждого своя строка в логе активности и свои лимиты, поэтому всплеск расхода видно сразу и понятно, чей он.

Продакшену — ключ с потолком расхода на месяц: при ошибке в цикле он остановится на известной сумме, а не на всём балансе.
Стенду и ноутбуку — отдельные ключи с низким RPM. Их не жалко отозвать.
Внешнему подрядчику — свой ключ, который отзывается одним нажатием в кабинете.

Необязательные заголовки

Заголовок	Зачем
X-Title	Название приложения. Попадает в лог активности и в рейтинг приложений, если вы разрешили публичный показ.
X-Site-Url	Ссылка на приложение рядом с названием в рейтинге.
X-Request-Id	Ваш идентификатор запроса. Возвращается в ответе и проходит в лог — с ним разбирательство занимает минуты.

Ключ — это деньги

Ключ наследует баланс аккаунта: утёкший ключ тратит ваши средства до отзыва. Держите его в переменной окружения, не в репозитории, и ставьте потолок расхода даже там, где он кажется лишним.

Отзыв

Отзыв действует сразу: следующий запрос с этим ключом получает 401. Уже начатые стриминговые ответы дописываются до конца — обрывать их посреди токена бессмысленно, платить за них всё равно придётся.