Аутентификация и работа с API‑ключами

Схема аутентификации

Публичный API RouterAPI принимает любой из двух заголовков:

Authorization: Bearer YOUR_API_KEY

или

X-API-Key: YOUR_API_KEY

Где YOUR_API_KEY — активный ключ, созданный в личном кабинете. Без валидного заголовка gateway вернёт 401.

Где используется этот заголовок

Эта схема авторизации подтверждена для публичных маршрутов:

• GET https://routerapi.ru/api/v1/key (в ответе: data и верхнеуровневый balance)
• GET https://routerapi.ru/api/v1/models
• POST https://routerapi.ru/api/v1/chat/completions
• POST https://routerapi.ru/v1/messages (Anthropic-compatible)

Для Claude Code

При подключении Claude Code через RouterAPI используйте:

• ANTHROPIC_BASE_URL=https://routerapi.ru
• ANTHROPIC_AUTH_TOKEN=<YOUR_API_KEY>
• ANTHROPIC_API_KEY="" (пустая строка)

Именно для Claude Code базовый URL должен быть без /api и /api/v1, потому что клиент вызывает путь /v1/messages.

Использование на сервере

Рекомендуется передавать ключ только из доверенной серверной среды:

• бэкенд‑приложение (например, Laravel, Symfony, NestJS);
• worker‑процессы и очереди;
• внутренние сервисы, не доступные напрямую из интернета.

Клиентские приложения (браузер, мобильные клиенты) должны обращаться к вашему бэкенду, а не непосредственно к API платформы.

Пример в Laravel (PHP)

use Illuminate\Support\Facades\Http;

$response = Http::withToken(env('ROUTERAPI_API_KEY'))
    ->acceptJson()
    ->post(rtrim(config('gateway.url'), '/') . '/chat/completions', [
        'model' => 'openai/gpt-3.5-turbo',
        'messages' => [
            ['role' => 'user', 'content' => 'Привет!'],
        ],
    ]);

В этом примере используется уже существующий конфиг gateway.url, который по умолчанию указывает на https://routerapi.ru/api/v1.

Безопасное хранение ключей

• Используйте переменные окружения (.env) и конфигурационные файлы сервера.
• Не коммитьте ключи в git‑репозиторий и не логируйте их целиком.
• Настройте периодическую ротацию ключей и разграничение прав по окружениям.
• Не отправляйте внешний API‑ключ напрямую из браузера, если запрос можно провести через ваш backend.

Подробнее см. раздел «Безопасность для интеграций».