Authentifizierung
Wie Kontinent-API-Schlüssel funktionieren.
Jede Anfrage an die Data Plane authentifiziert sich mit einem Bearer-Token:
Authorization: Bearer sk-kt-<43 base62 chars>
Wichtige Fakten
- Schlüssel sind insgesamt 49 Zeichen lang (
sk-kt-plus 43 Base62-Zeichen). - Ein Schlüssel wird bei der Erstellung genau einmal angezeigt. Gespeichert wird nur ein SHA-256-Hash. Kontinent kann einen verlorenen Schlüssel nicht wiederherstellen, bewahren Sie ihn also sicher auf.
- Ein Schlüssel kann ein Ablaufdatum haben. Ohne Ablaufdatum bleibt er gültig, bis Sie ihn widerrufen. Widerruf und Deaktivieren werden innerhalb von etwa 30 Sekunden wirksam (die TTL des Auth-Caches). Ein Ablauf, auch das Ende einer Übergangsfrist nach dem Rotieren, wird innerhalb von etwa 5 Minuten wirksam.
- Jede Anfrage ist an die Organisation des Schlüssels gebunden, der das Guthaben und die Nutzungszuordnung gehören. Das Rate-Limit gilt pro Schlüssel (Standard 60 Anfragen pro Minute, siehe Rate-Limits & Guthaben).
Behandeln Sie einen sk-kt--Schlüssel wie ein Passwort. Wer ihn besitzt, kann das Guthaben Ihrer Organisation ausgeben. Bevorzugen Sie Umgebungsvariablen oder einen Secrets-Manager, statt Schlüssel in die Versionsverwaltung einzuchecken.
Lebenszyklus eines Schlüssels
Schlüssel verwalten Sie in der Konsole unter API-Schlüssel. Mitglieder verwalten die Schlüssel, die sie selbst erstellt haben. Owner und Admins verwalten alle Schlüssel der Organisation (siehe Team & Rollen).
| Aktion | Was passiert |
|---|---|
| Erstellen | Sie vergeben einen Namen und setzen optional ein Ablaufdatum und ein Ausgabelimit pro Tag, Woche oder Monat. Das Secret wird einmal angezeigt. |
| Ablauf | Ab dem Ablaufdatum liefert der Schlüssel 401 invalid_api_key. Alle Mitglieder der Organisation bekommen 7 Tage vorher eine E-Mail. |
| Rotieren | Erzeugt ein neues Secret mit demselben Namen und denselben Limits. Das alte Secret funktioniert noch 24 Stunden, damit laufende Deployments ohne Ausfall umstellen können. Die Team-Zuordnung wird nicht übernommen: Ordnen Sie den neuen Schlüssel seinem Team erneut zu. |
| Deaktivieren | Stoppt den Schlüssel, ohne ihn zu löschen. Anfragen liefern 401, bis Sie ihn wieder aktivieren. Praktisch bei einem Verdacht auf ein Leck. |
| Widerrufen | Beendet den Schlüssel endgültig. Er lässt sich nicht wieder aktivieren. |
Jeder Schlüssel hat eine eigene Seite mit seiner Nutzung über die Zeit. So sehen Sie, was ein einzelnes Deployment kostet. Jede dieser Aktionen landet im Audit-Log.
Den Schlüssel verwenden
const client = new OpenAI({
baseURL: "https://api.kontinent.ai/v1",
apiKey: process.env.KONTINENT_API_KEY,
});client = OpenAI(
base_url="https://api.kontinent.ai/v1",
api_key=os.environ["KONTINENT_API_KEY"],
)curl https://api.kontinent.ai/v1/models \
-H "Authorization: Bearer $KONTINENT_API_KEY"Wenn die Authentifizierung fehlschlägt
Ein ungültiger oder widerrufener Schlüssel liefert 401 mit dem Code invalid_api_key. Nicht erneut versuchen. Das Ergebnis ändert sich nicht, bis Sie einen gültigen Schlüssel angeben.
| Status | code | Bedeutung |
|---|---|---|
401 | invalid_api_key | Ungültiger, widerrufener, deaktivierter oder abgelaufener Schlüssel. Ein erneuter Versuch hilft nicht. |
402 | insufficient_credits | Der Schlüssel ist gültig, aber das Guthaben der Organisation ist erschöpft. |
502 | upstream_auth_error | Ein Anbieter hat unsere Anmeldedaten abgelehnt, nicht Ihre. Unser Problem. |
Nach mehr als 20 fehlgeschlagenen Authentifizierungen von einer IP-Adresse in der laufenden Minute erhalten weitere ungültige Schlüssel von dieser Adresse 429 rate_limit_exceeded mit Retry-After: 60 statt 401. Gültige Schlüssel sind nicht betroffen.
Siehe Fehler behandeln für die vollständige Taxonomie.