Authentification de l'API de la plateforme

Les requêtes de l’API de la plateforme s’authentifient avec une clé de gestion (Management Key) transmise comme Bearer token :

Authorization: Bearer rat_your_management_key

Par exemple :

curl https://www.routeapi.ai/api/open/v1/balance \
  -H "Authorization: Bearer $ROUTEAPI_MANAGEMENT_KEY"

Clé de gestion (Management Key)

Une clé de gestion est l’identifiant de l’API de la plateforme (/api/open/v1) et commence par rat_. Elle est distincte de la clé API sk- utilisée pour appeler les modèles :

Identifiant	Préfixe	Usage
Clé de gestion (Management Key)	rat_	Appeler /api/open/v1 pour gérer votre compte et vos API Keys
Clé API	sk-	Appeler les endpoints de modèles (comme /v1/chat/completions), voir Chat Completions

Une clé de gestion ne peut agir que sur les ressources de son propriétaire. Elle n’hérite pas des droits administrateur et ne peut pas gérer les clés de gestion via l’API de la plateforme.

Gardez-la secrète

Une clé de gestion peut gérer les clés API de votre compte et en lire les valeurs en clair via Révéler une API Key. Ne la commitez pas dans un dépôt, ne l’intégrez pas dans du code frontend et ne la partagez pas. Le texte en clair n’est affiché qu’une seule fois à la création ; si vous la perdez, créez-en une nouvelle.

Créer une clé de gestion

1. Connectez-vous à la console RouteAPI.
2. Ouvrez Management Keys dans la barre latérale (entre Billing et Playground), ou accédez directement à console/management-keys.
3. Saisissez un nom, choisissez une date d’expiration, puis créez la Key.
4. Copiez et conservez immédiatement la Key en clair commençant par rat_.

Chaque utilisateur peut conserver jusqu’à 10 clés de gestion. Les clés expirées restent dans la liste et comptent toujours dans la limite ; supprimez une clé pour libérer une place. En cas de fuite, supprimez la clé sur la même page ; la suppression prend effet immédiatement.

Une nouvelle clé de gestion ne peut être que supprimée, pas révoquée ni réactivée. La suppression est le seul moyen de la désactiver, et les requêtes utilisant une clé supprimée échouent avec 401 invalid_token.

Recommandations de sécurité

• Conservez les clés de gestion dans un gestionnaire de secrets ou un secret CI, jamais dans du code source ni dans un fichier de configuration commité.
• Créez une clé de gestion distincte par script ou par service, afin de pouvoir en supprimer une sans affecter les autres.
• Définissez une date d’expiration. Une clé devenue inutile doit être supprimée plutôt que laissée jusqu’à expiration.
• N’accordez la clé qu’aux systèmes qui gèrent réellement votre compte. Les applications qui appellent les modèles ont besoin d’une clé API sk-, pas de celle-ci.
• Vérifiez régulièrement la liste des clés de gestion et supprimez toute clé que vous ne reconnaissez plus.

Confusion entre identifiants

Les deux identifiants ne sont pas interchangeables, et chaque API rejette la clé de l’autre avec 401 :

Requête	Résultat
Clé API sk- envoyée à /api/open/v1	401 invalid_token — le chemin attend une clé de gestion
Clé de gestion rat_ envoyée aux endpoints de modèles comme /v1/chat/completions	401 erreur d’authentification — le chemin attend une clé API

Si une requête vers l’une des deux API retourne 401 alors que la clé semble valide, vérifiez sur quelle page vous l’avez créée et quel préfixe elle porte.

Pour les codes d’erreur et les limites de débit, voir Erreurs et limites.