Passer au contenu principal
Lorsque vous créez ou lisez une clé API via la console ou l’API REST, la passerelle renvoie un objet token — l’enregistrement JSON qui contient l’identité d’une clé, ses limites, et les deux attachements de politique qui gouvernent son trafic. Cette page est la référence champ par champ de cet objet : ce que chaque champ signifie, son type, et les valeurs sentinelles (0, -1) qui portent une signification spéciale. Pour le pourquoi derrière ces champs — le modèle de moindre agence — commencez à la vue d’ensemble des clés à portée limitée. Cette page est la table de consultation que vous gardez ouverte pendant que vous scriptez la création de clés.

​
1. La référence de l’objet token d’un coup d’œil

Une clé fraîchement créée pour un agent de résumé planifié ressemble à ceci : 
{
  "id": 4812,
  "name": "support-summarizer-prod",
  "status": 1,
  "key": "sk-orca-a1b2****yz90",
  "created_time": 1733616000,
  "accessed_time": 1733702400,
  "expired_time": -1,
  "unlimited_quota": false,
  "remain_quota": 500000,
  "used_quota": 12340,
  "model_limits_enabled": true,
  "model_limits": "openai/gpt-4o-mini",
  "credit_limit_usd": 25,
  "allow_ips": "203.0.113.7",
  "environment": "prod",
  "guardrail_id": 17,
  "firewall_policy_id": 9,
  "is_firewall_gateway": false,
  "group": "default"
}
Le champ key est masqué à chaque lecture — vous voyez le préfixe de marque et les quatre derniers caractères, jamais le secret complet. Le plaintext est montré une fois, à la création. Voir Masquage des clés.

​
2. Champs d’identité & de cycle de vie

Ceux-ci décrivent quelle clé est-ce et où elle en est dans son cycle de vie.
L’identifiant numérique stable de la clé. Utilisez-le pour adresser la clé dans les appels de mise à jour et de suppression. Lecture seule.
Une étiquette humaine pour la clé, montrée dans la console et dans les logs. Nommez les clés d’après l’agent qui les détient — une clé, un agent.
État activé / désactivé. 1 signifie actif ; une clé désactivée est rejetée à l’authentification sans être supprimée, de sorte que vous pouvez mettre une clé en pause et la réactiver.
Le secret au porteur, renvoyé masqué (sk-orca-…****…). La valeur complète n’est montrée qu’une fois, à la création. Traitez-la comme un mot de passe.
Timestamps Unix (secondes) pour quand la clé a été frappée et quand elle a servi une requête pour la dernière fois. accessed_time est votre signal d’une clé périmée ou inutilisée qui mérite d’être révoquée.
Expiration absolue sous forme de timestamp Unix. La sentinelle -1 signifie que la clé n’expire jamais. Fixez un vrai timestamp pour faire expirer automatiquement une clé — le bon défaut pour les exécutions CI et les agents éphémères. Voir Clés expirantes.

​
3. Champs de dépense & de quota

Ceux-ci bornent combien une clé peut consommer avant qu’elle cesse de fonctionner.
ChampTypeSignification
credit_limit_usdnumberPlafond de dépense à vie en USD. 0 = illimité.
unlimited_quotabooleanQuand true, la clé n’est pas métrée contre un solde de quota.
remain_quotanumberQuota restant sur la clé.
used_quotanumberQuota consommé jusqu’à présent.
Une clé avec credit_limit_usd: 0 et unlimited_quota: true et expired_time: -1 n’a aucun plafond de dépense et n’expire jamais — le pire rayon d’explosion si elle fuite. Voir illimité vs borné pour savoir quand une clé non bornée est justifiée.

​
4. Champs de portée & d’accès

Ceux-ci plafonnent ce que la clé peut atteindre — quels modèles, depuis quelles adresses.
model_limits est la liste des modèles que la clé peut appeler ; model_limits_enabled est l’interrupteur on/off. Avec la limite activée, un appel à tout modèle hors de la liste est rejeté avant de quitter la passerelle — l’agent ne peut pas basculer vers un modèle plus cher ou plus capable. Voir Limites de modèles.
Une allow-list d’IP / CIDR, une entrée par ligne. Une requête présentant la clé depuis toute adresse non listée est rejetée à la couche d’authentification ; une valeur vide signifie que toutes les adresses sont autorisées. Voir Allow-list d’IP.
Une étiquette de déploiement libre (prod, staging, dev, ou ce que vous choisissez) pour organiser les clés et filtrer les logs. Purement organisationnelle — elle ne change pas l’application. Voir Environnements.
Le groupe de routage à travers lequel la clé résout les modèles. Laissez-le au défaut de l’espace de travail à moins qu’on ne vous ait donné un groupe spécifique.

​
5. Champs d’attachement de politique

Les deux champs les plus puissants d’une clé. Chacun lie la clé à une politique à portée d’espace de travail qui gouverne son trafic — changez la politique et chaque clé qui y est attachée capte le changement à la requête suivante, sans redéploiement.
ChampTypeLie la clé à
guardrail_idnumberUn guardrail de contenu qui filtre le texte de la requête et de la réponse.
firewall_policy_idnumberUne politique firewall qui gouverne les appels d’outils que la clé émet.
is_firewall_gatewaybooleanMarque la clé comme un token à portée de passerelle pour les routes Firewall MCP / evaluate (pas pour l’inférence).
La sentinelle pour les deux attachements est 0 (non attaché). Mais les deux plans résolvent un attachement désactivé différemment :
  • Un guardrail_id désactivé est l’interrupteur d’arrêt — la clé ne reçoit aucun guardrail, sans repli sur le défaut de l’espace de travail.
  • Un firewall_policy_id désactivé retombe sur la politique firewall par défaut de l’espace de travail.
L’ordre de résolution complet vit sur Lier des politiques et Portée & clés.
is_firewall_gateway: true frappe une clé à portée de passerelle pour les routes /api/v1/firewall/* uniquement — ne la mettez jamais sur une clé d’inférence. Activer le flag, et lire le plaintext d’une clé de passerelle, requièrent tous deux Admin+.

​
6. Définir ces champs

Chaque champ ci-dessus est configuré dans l’éditeur de clé de la console (/console/token) — pas via une clé de relais. Créer ou modifier une clé requiert le rôle Developer ou supérieur ; le flag is_firewall_gateway requiert Admin+.
L’objet token est la surface de configuration. Le plaintext de la clé (sk-orca-…) est ce que votre agent présente sur les appels de relais /v1/*. Configurez la clé dans la console ; l’agent ne voit jamais que le secret.
Une clé concrète à moindre agence — définie dans l’éditeur, relue comme l’objet ci-dessus — plafonne un modèle, une plage d’IP source, un plafond hebdomadaire en USD, une expiration, et un guardrail plus une politique firewall. Si l’agent qui la détient est détourné via une injection de prompt, le rayon d’explosion s’arrête à exactement ces bornes.

​
7. Références connexes

Vue d'ensemble des clés à portée limitée

Le modèle de moindre agence et le hub de chaque champ de clé.

Lier des politiques

Comment guardrail_id et firewall_policy_id se résolvent vers une politique active.

Quota, plafond & expiration

credit_limit_usd, expired_time, et les champs de quota en profondeur.

Checklist de moindre agence

Faites passer chaque clé par la même passe de durcissement.
Nouveau dans le modèle ? Lisez Portée, clés, politiques & espaces de travail pour la façon dont l’objet token s’inscrit dans la hiérarchie espace de travail → politique → clé.