鉴权
所有 /v1 与 /v1beta 请求都用一个 API key 鉴权。没有额外的 client id、没有签名、也没有过期时间（除非你自己设置）。
创建 key
登录后在账号对话框里打开 API Keys 面板创建。明文只在创建时显示一次——服务端只保存 SHA-256 摘要与前四个字符，因此丢失的 key 无法找回，只能重新生成。单个账号最多保留 50 个有效 key。
sk-hh-x7Kq2mZ4nR8vT1wY6bC0dF3gH5jL9pQs`sk-` 的形状是刻意的：兼容那些期望 OpenAI 风格密钥的工具链。`hh` 标记用来让密钥扫描器或读配置的人一眼区分出这是 Hypit 的 key。
把它当成 bearer 凭证：任何持有者都能花你的积分。只放在服务端环境变量里，不要写进源码；一旦怀疑泄露立即在面板删除——删除是即时生效的。
怎么传
标准形式是 Authorization 头：
curl https://hypit.video/v1/models \
-H "Authorization: Bearer $HYPIT_API_KEY"因为不同厂商的 SDK 把凭证放在不同位置，所有路由都额外接受下面四种写法，按顺序读取，第一个非空的生效：
| 位置 | 示例 |
|---|---|
| Authorization: Bearer | Authorization: Bearer sk-hh-... |
| X-Api-Key | Anthropic SDK 的写法 |
| X-Goog-Api-Key | Google GenAI SDK 的写法 |
| Api-Key / ?key= | 普通头 / Google REST 的 query 写法 |
query 参数存在是为了让未改动的 Google 客户端能直接访问 Gemini 原生接口。其他情况都优先用请求头：query string 会进浏览器历史、代理日志和 Referer。
每个响应都可追踪
每个响应都带 X-Request-Id。如果你自己传了一个（最长 128 字符、不能带换行），我们会采用它，这样你的日志和我们的日志指向同一个请求。提工单时贴上它。
鉴权失败的排查
所有鉴权失败都是 HTTP 401，type 为 authentication_error，但 code 会告诉你是哪个环节：缺少凭证、key 未知或已停用、账号被停用。带 code 做分支，把 message 留给日志。
中文内容导航
继续阅读
常见问题
key 会过期吗？
默认不会。你可以自行设置过期时间；不设就长期有效，也随时可以在面板删除。
一个账号能用多少个 key？
最多 50 个有效 key，方便按环境或按服务拆分并单独吊销。
在浏览器里调用 API 安全吗？
不安全。key 等同于 bearer 凭证，应只放在服务端；前端请求请通过你自己的后端转发。