Authentifizierung
Wie Sie Ihren Schlüssel übermitteln, welchen Header jedes Format erwartet und wie Sie Schlüssel sicher aufbewahren.
Jede Anfrage benötigt einen API-Schlüssel, der in Ihrem Dashboard erstellt wurde. Schlüssel beginnen mit sk- und übernehmen die Berechtigungen und das Guthaben des Kontos, das sie erstellt hat.
Zwei Header, ein Schlüssel
Derselbe Schlüssel funktioniert in beiden Formaten — nur der Header-Name ändert sich.
| Format | Endpunkt | Header |
|---|---|---|
| Anthropic | /v1/messages | x-api-key: sk-... |
| Anthropic (alt) | /v1/messages | Authorization: Bearer sk-... |
| OpenAI | /v1/chat/completions | Authorization: Bearer sk-... |
Das Anthropic-Format erwartet zusätzlich einen Versions-Header. Jedes Anthropic SDK setzt ihn automatisch:
-H "anthropic-version: 2023-06-01"Umgebungsvariablen
Die meisten Tools lesen diese Variablen, anstatt einen Schlüssel als Argument entgegenzunehmen:
| Variable | Verwendet von | Wert |
|---|---|---|
ANTHROPIC_BASE_URL | Claude Code, Anthropic SDK | https://aiprimetech.io |
ANTHROPIC_AUTH_TOKEN | Claude Code | Ihr sk- Schlüssel |
ANTHROPIC_API_KEY | Anthropic SDK (Python/TS) | Ihr sk- Schlüssel |
OPENAI_BASE_URL | OpenAI SDK, LangChain, LiteLLM | https://aiprimetech.io/v1 |
OPENAI_API_KEY | OpenAI SDK | Ihr sk- Schlüssel |
Beachten Sie das
/v1 Suffix bei OPENAI_BASE_URL aber nicht bei ANTHROPIC_BASE_URL. Diese Asymmetrie besteht in den offiziellen SDKs und wurde nicht von uns eingeführt — der OpenAI-Client hängt Pfade an die von Ihnen angegebene Basis an, der Anthropic-Client hängt /v1 selbst an. Ein Fehler an dieser Stelle ist der mit Abstand häufigste Einrichtungsfehler.Sicherer Umgang mit Schlüsseln
- Erstellen Sie einen ein separater Schlüssel pro Rechner oder Projekt damit einer widerrufen werden kann, ohne die anderen zu beeinträchtigen.
- Nehmen Sie Schlüssel niemals in Commits auf. Verwenden Sie Umgebungsvariablen oder einen Secret-Manager; fügen Sie
.envzu.gitignore. - Schlüssel werden vollständig angezeigt einmal. Rotieren Sie einen verlorenen Schlüssel, statt zu versuchen, ihn wiederherzustellen.
- Ein offengelegter Schlüssel verbraucht Ihr Guthaben. Widerrufen Sie ihn sofort im Dashboard — der Widerruf wird unmittelbar wirksam.
- Bevorzugen Sie serverseitige Aufrufe. Ein Schlüssel, der in einem Browser-Bundle oder einer mobilen App ausgeliefert wird, ist öffentlich zugänglich.
Widerrufen und Rotieren
- Dashboard → API-Schlüssel.
- Erstellen Sie zuerst den Ersatzschlüssel und stellen Sie ihn bereit.
- Löschen Sie den alten Schlüssel, sobald der Datenverkehr auf den neuen umgestellt ist. Laufende Anfragen, die den alten Schlüssel verwenden, schlagen unmittelbar nach der Löschung fehl.