API-ключі: як безпечно дати асистентові доступ
Ключ — це пароль для програм. Він заслуговує на ту саму обережність і, на відміну від пароля, легко забирається назад.
Що це
Рядок, що починається з `tapmy_sk_`, показується один раз при створенні. Сервер зберігає лише хеш, тож ніхто — включно з нами — не зможе прочитати його пізніше. Надсилайте його як `Authorization: Bearer …`, і кожен запит під `/api/` діє від вашого імені: сторінки, картинки, імпорт, статистика.
Звідки він береться
- Ви робите його самі: «Акаунт → API-ключі → Створити ключ». Назвіть за програмою, яка ним користуватиметься.
- Його робить асистент: коли він створює сторінку без вашого e-mail, у відповіді є ключ нового акаунта. Після того як ви заберете акаунт, він з’явиться в тому самому списку з позначкою «створено асистентом».
Чого він не може
Ключ не може випускати інші ключі, відкликати ключі, видаляти акаунт, змінювати його e-mail і пароль. Для цього потрібна сесія в браузері — ви, що увійшли. Він також не бачить жодних акаунтів, крім свого. У цьому весь сенс: найгірше, що може зробити ключ, який витік, — відредагувати ваші сторінки, а кожну правку видно в редакторі, і її можна відкотити.
Як передати
- Claude Code: `claude mcp add --transport http tapmy https://tapmy.link/mcp --header "Authorization: Bearer tapmy_sk_…"`.
- Скрипт: покладіть у змінну оточення, ніколи в код і ніколи в повідомлення чату, яке буде залоговане.
- Чат-асистент: вставляйте в розмову лише якщо асистент може викликати API звідти; інакше йому ніде його зберігати.
Коли відкликати
Коли програми, яка ним користувалася, більше немає; коли ви не впевнені, куди ключ потрапив; коли ви просили разову збірку й не хочете, щоб асистент лишався на сторінці. Відкликання миттєве: усе, що використовує ключ, отримує «unauthorized» з наступного запиту. Ліміт — десять ключів на акаунт, тож один на програму — розумна звичка.