Аутентификация и работа с API‑ключами

Схема аутентификации

Все запросы к публичному API RouterAPI должны содержать заголовок:

Authorization: Bearer YOUR_API_KEY

Где YOUR_API_KEY — активный ключ, созданный в личном кабинете. Без этого заголовка gateway вернёт ошибку 401 с сообщением об отсутствии или неверности Authorization.

Где используется этот заголовок

Эта схема авторизации подтверждена для публичных маршрутов:

• GET https://routerapi.ru/api/v1/key
• GET https://routerapi.ru/api/v1/models
• POST https://routerapi.ru/api/v1/chat/completions

Использование на сервере

Рекомендуется передавать ключ только из доверенной серверной среды:

• бэкенд‑приложение (например, Laravel, Symfony, NestJS);
• worker‑процессы и очереди;
• внутренние сервисы, не доступные напрямую из интернета.

Клиентские приложения (браузер, мобильные клиенты) должны обращаться к вашему бэкенду, а не непосредственно к API платформы.

Пример в Laravel (PHP)

use Illuminate\Support\Facades\Http;

$response = Http::withToken(env('ROUTERAPI_API_KEY'))
    ->acceptJson()
    ->post(rtrim(config('gateway.url'), '/') . '/chat/completions', [
        'model' => 'openai/gpt-3.5-turbo',
        'messages' => [
            ['role' => 'user', 'content' => 'Привет!'],
        ],
    ]);

В этом примере используется уже существующий конфиг gateway.url, который по умолчанию указывает на https://routerapi.ru/api/v1.

Безопасное хранение ключей

• Используйте переменные окружения (.env) и конфигурационные файлы сервера.
• Не коммитьте ключи в git‑репозиторий и не логируйте их целиком.
• Настройте периодическую ротацию ключей и разграничение прав по окружениям.
• Не отправляйте внешний API‑ключ напрямую из браузера, если запрос можно провести через ваш backend.

Подробнее о политике безопасности и обработке чувствительных данных смотрите в разделе «Безопасность».