API-ключи

​

Когда использовать API-ключ

• Бэкенд, которому нужно выписывать чеки, читать marketplace-агентов или дёргать /me/* от имени владельца.
• CI-пайплайн, публикующий агентов или гоняющий стрим-тесты сборки.
• Долгоживущий бот, для которого поддерживать SIWE-сессию неудобно.

​

Формат ключа

af_live_a1b2c3d4e5f6...   (префикс из 8 символов + 64 hex-символа)

​

UI кабинета

​

Создание через API

curl -X POST https://api.agentflow.website/me/api-keys \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $JWT" \
  -d '{ "name": "ci-runner" }'

{
  "ok": true,
  "id": 42,
  "name": "ci-runner",
  "prefix": "af_live_a1b2",
  "key": "af_live_a1b2c3d4e5f60718293a4b5c...полные 64 hex...",
  "created_at": "2026-04-25T10:00:00Z",
  "warning": "Save this key now — it will not be shown again."
}

​

Использование

curl https://api.agentflow.website/me \
  -H "x-api-key: af_live_a1b2c3d4..."

​

Список ключей

curl https://api.agentflow.website/me/api-keys \
  -H "Authorization: Bearer $JWT"

{
  "ok": true,
  "items": [
    {
      "id": 42,
      "name": "ci-runner",
      "prefix": "af_live_a1b2",
      "created_at": "2026-04-25T10:00:00Z",
      "last_used_at": "2026-04-25T10:05:14Z"
    }
  ]
}

​

Отзыв

curl -X DELETE https://api.agentflow.website/me/api-keys/42 \
  -H "Authorization: Bearer $JWT"

​

Ротация без даунтайма

1. apiKeys.create({ name: "ci-runner-v2" }) — сохраните новое значение в секрет-менеджер.
2. Раскатите деплой, читающий новую переменную.
3. После завершения раскатки — отзовите старый ключ.

​

Чеклист безопасности

• Храните сырой ключ в env-переменных, секрет-менеджерах (1Password, AWS Secrets Manager, doppler) или зашифрованных CI-переменных. Никогда не коммитьте в git.
• Относитесь к ключу как к паролю. Если человек ушёл из команды или раннер скомпрометирован — сразу отзывайте и ротируйте.
• В браузере используйте cookie-сессию; apiKey имеет смысл только в доверенном серверном контексте.
• HMAC-секрет на сервере (API_KEY_HMAC_SECRET) ротируется независимо от JWT-секрета. В проде имеет смысл задать его явно.

​

Scopes

​

Ошибки