# 金鑰與驗證

授權模型呼叫，並限制每個應用程式的存取範圍。

## 請求標頭

使用 `Authorization: Bearer YOUR_API_KEY`，`Bearer` 後保留一個空格。金鑰本身不可包含額外引號或換行。

模型呼叫金鑰與帳戶安全中的個人存取權杖用途不同。模型客戶端應使用金鑰管理建立的模型金鑰，不要使用管理憑據。

## 群組與模型範圍

金鑰群組決定可用渠道與適用價格。模型廣場有展示，也可能因群組、模型限制、額度或有效期而無法呼叫。

建議各應用程式使用獨立金鑰，按需限制額度、有效期與來源 IP。更換模型或群組後，先以小請求驗證。

## 保存與輪換

- 存放於伺服器環境變數或金鑰管理服務。
- 不放入前端、公開儲存庫、共享截圖或聊天內容。
- 輪換時先建立新金鑰、更新並驗證，再停用舊金鑰。
- 懷疑外洩時立即停用並核查紀錄與費用。

## 驗證錯誤

`401` 優先檢查金鑰及標頭；`403` 檢查權限、來源 IP 與存取政策。錯誤可能來自平台或上游，請一併查看訊息。

CORS 不會保護放在瀏覽器中的金鑰。公開網頁應透過自己的後端呼叫模型。