Autenticazione
Come inviare la chiave, quale header richiede ciascun formato e come proteggere le chiavi.
Ogni richiesta necessita di una chiave API creata nella tua dashboard. Le chiavi iniziano con sk- e utilizzano i permessi e il saldo dell'account che le ha create.
Due header, una chiave
La stessa chiave funziona in entrambi i formati: cambia solo il nome dell'header.
| Formato | Endpoint | Header |
|---|---|---|
| Anthropic | /v1/messages | x-api-key: sk-... |
| Anthropic (alt) | /v1/messages | Authorization: Bearer sk-... |
| OpenAI | /v1/chat/completions | Authorization: Bearer sk-... |
Il formato Anthropic richiede anche un header di versione. Ogni SDK Anthropic lo imposta automaticamente:
-H "anthropic-version: 2023-06-01"Variabili d'ambiente
La maggior parte degli strumenti legge queste variabili anziché ricevere una chiave come argomento:
| Variabile | Utilizzata da | Valore |
|---|---|---|
ANTHROPIC_BASE_URL | Claude Code, SDK Anthropic | https://aiprimetech.io |
ANTHROPIC_AUTH_TOKEN | Claude Code | il tuo sk- chiave |
ANTHROPIC_API_KEY | SDK Anthropic (Python/TS) | il tuo sk- chiave |
OPENAI_BASE_URL | SDK OpenAI, LangChain, LiteLLM | https://aiprimetech.io/v1 |
OPENAI_API_KEY | SDK OpenAI | il tuo sk- chiave |
Nota il campo
/v1 suffisso su OPENAI_BASE_URL ma non su ANTHROPIC_BASE_URL. Questa asimmetria è presente negli SDK ufficiali, non è stata introdotta da noi: il client OpenAI aggiunge i percorsi alla base che gli fornisci, mentre il client Anthropic aggiunge /v1 autonomamente. Sbagliare questo passaggio è l'errore di configurazione più comune in assoluto.Gestione sicura delle chiavi
- Crea una una chiave separata per ogni macchina o progetto così da poterne revocare una senza interferire con le altre.
- Non inserire mai le chiavi nei commit. Usa variabili d'ambiente o un gestore di segreti; aggiungi
.enva.gitignore. - Le chiavi vengono mostrate per intero una sola volta. Sostituisci una chiave smarrita anziché tentare di recuperarla.
- Una chiave compromessa consuma il tuo saldo. Revocala immediatamente dalla dashboard: la revoca è istantanea.
- Preferisci le chiamate lato server. Una chiave inclusa in un bundle per browser o in un'app mobile è una chiave pubblica.
Revoca e rotazione
- Dashboard → Chiavi API.
- Crea prima la chiave sostitutiva e distribuiscila.
- Elimina la vecchia chiave una volta trasferito il traffico. Le richieste in corso che la utilizzano falliscono immediatamente dopo l'eliminazione.