キーとセキュリティ

#Bearer 認証

すべてのリクエストは 1 つの HTTP ヘッダーで認証されます。追加のユーザー ID ヘッダーやセッション Cookie はありません — Bearer キーだけでアカウントを識別し、呼び出しをルーティングします。署名が必要なのは、リクエスト署名を有効にしたキーだけです。

curl https://www.aisplice.store/v1/chat/completions \
  -H "Authorization: Bearer sk-YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{"model":"gpt-5.6-luna","messages":[{"role":"user","content":"hi"}]}'

#キーの管理

コンソール → API キー でキーを作成・ローテーションします。キー全体が表示されるのは、作成時の一度だけです。

キーごとに RPM / RPD の上限、利用枠の上限、モデル許可リスト、IP 許可リスト、有効期限を設定できます — プロジェクトごとにキーを 1 つにすれば、漏洩や暴走したスクリプトでアカウント全体が止まることはありません。

#キーのセキュリティ

• キーは環境変数やシークレットマネージャーから読み込んでください — git には決してコミットしないでください。
• キーがログ、スクリーンショット、貼り付けたスタックトレースに含まれていたら、すぐにローテーションしてください。
• 実験に使うキーには利用枠の上限を設定し、ループでウォレットが空にならないようにします。
• 送信元アドレスが固定されたサーバー側のキーには IP 許可リストを使います。