身份验证

你的 API 密钥

每次请求都要在 Authorization 请求头中带上你的密钥：

Authorization: Bearer ora_YOUR_API_KEY

• 格式。 ora_ 后接 43 个字符（字母、数字、- 和 _），共 47 个字符。其他任何格式都会直接以 401 拒绝，甚至不会去查找该密钥。
• 每个账户一个密钥。 它代表你本人行事：它能看到你的代币、钱包和投资组合，看不到其他任何人的。
• 把它放在只有你能接触到的地方。 在服务器上，放在环境变量或密钥管理工具中；或者放在你自己设备上安装的应用或浏览器扩展的受保护存储中。切勿把它放进网站代码、URL、查询字符串或代码仓库。Ora 只保存它的哈希值，无法再次向你显示它。
• 无需登录，没有会话。 没有任何需要刷新的东西：密钥会一直有效，直到你轮换或撤销它，或者你账户的 API 访问权限被关闭。

任何拿到你密钥的人都能操作你的账户，包括用你的钱包进行交易和发射。请像对待密码一样对待它：只把它交给你信任且已获 Ora 批准的软件（为他人开发）。

API Key 窗口

在应用中，点击右上角的头像，然后点击 API Key。窗口会显示：

• 你的密钥，并带有 Active 或 Inactive 徽章，告诉你 API 访问权限是否已开通。关闭窗口后，密钥只会以掩码形式显示；
• Generate key 按钮；如果你已有密钥，则为 Generate new key；
• 要调用的 Base URL，并带有复制按钮。

如果 API 访问权限尚未开通，窗口会显示相应提示，而不显示该按钮：请联系 Ora 支持团队开通。

管理你的密钥

目的	操作	效果
创建	API Key 窗口 → Generate key	只显示一次。请立即复制。
轮换	API Key 窗口 → Generate new key	旧密钥从下一次调用起就会被拒绝。请先更新你的脚本。
撤销	POST /me/api-key/revoke，或联系 Ora 支持团队	此后使用该密钥的每次调用都会被拒绝。
检查访问权限	API Key 窗口，或 GET /auth/me	显示 API 访问权限是否已开通，以及是否存在密钥。

如果密钥泄露，请立即轮换：泄露的密钥在下一次使用时就会失效。API 访问权限同时也是一个账户级开关，Ora 支持团队可以将其关闭，届时该账户上的所有密钥都会立即被阻止。

为他人开发

你为自己开发的机器人、仪表盘、平台和扩展只需要你自己的密钥。如果要把你的软件提供给其他 Ora 用户，你需要先获得 Ora 的书面同意：请写信至 contact@useora.xyz，说明它的功能以及它如何处理密钥。之后：

• 每位用户使用自己的密钥登录你的软件，并且可以随时撤销；
• 你要像保管自己的密钥一样安全地保管收到的密钥，只将其用于每位用户要求的用途，并在用户离开时将其删除；
• 你要明确说明你的软件并非由 Ora 运营，并且绝不向任何人索要恢复密钥、私钥或登录验证码。

完整规则见服务条款第 10.11 条。