アカウントAPI

アプリ用キーを、アカウント・ウォレット・キー管理を担うWebセッションから分離してください。

認証の境界

公開推論は /v1/chat/completions でBearerキーを使用します。アカウントのルートにはログイン済みWebセッションが必要で、変更には適切なオリジン・CSRF確認も必要です。Bearerキーでは別のキーの作成、入金、アカウント設定変更はできません。

ルート	セッション操作
GET /api/account/me	アカウント概要、ウォレット、キー、アクティビティの要約。
POST /api/account/keys	アプリ用キーを作成します。
POST /api/account/keys/{id}/rotate	シークレットを交換します。
POST /api/account/keys/{id}/revoke	キーを無効化します。
DELETE /api/account/keys/{id}	キーを無効にし、ダッシュボードの記録を非表示にします。

これらの操作はダッシュボードを使います。変更リクエストはプラットフォームのセッションとオリジン保護を満たす必要があります。

MFAを有効に保ち、控えめな上限でキーを分けてください。管理操作には追加のロール確認と現在のMFA確認が必要です。