安全最佳实践
保管与轮换密钥、最小权限、限额兜底、泄露应急、媒体与结果的访问控制，以及平台侧的安全机制。
API Key 可以直接消耗账户余额。本页给出保管密钥与控制风险的做法，并说明平台已经提供的保护。
平台如何保护密钥#
- 密钥在你的浏览器中用安全随机数生成，平台只接收并保存 SHA-256 摘要。明文只在创建时显示一次，平台工作人员也无法查看。
- 每次请求都实时检查密钥是否撤销、删除、过期，以及账号是否正常、是否完成手机号验证。
- 撤销和删除立即生效，不可恢复；同一把密钥永远不会被重新启用。
- 所有接口仅支持 HTTPS。
保管密钥#
- 只在服务器端使用。
api.tokentosea.com不支持浏览器跨域调用；不要把密钥写进网页、小程序、移动应用或桌面客户端。需要在前端使用模型时，由你的后端代为调用。 - 放在密钥管理服务或环境变量中，不要提交到代码仓库、镜像、日志或工单。
- 不要在 URL 中传递密钥。推理接口不接受查询参数。
- 记录日志时只保留密钥前缀（如
sk-relay_ab12…），不要输出完整密钥或Authorization请求头。
最小权限#
- 按应用和环境分开密钥：开发、测试、生产各用一把，便于单独撤销和对账。
- 限定调用范围：只开放实际使用的服务商或型号（调用范围）。不需要调用工具时，选择模型密钥而不是全能密钥。
- 设置限额兜底：为每把密钥设置滚动窗口内的金额上限与 token 上限，即使密钥泄露，损失也有上限（限额与有效期）。
- 为临时用途设置到期时间：演示、外包、短期测试的密钥到期自动失效。
- 第三方应用需要代表用户调用时，使用 TokenToSea 登录的 OAuth 授权与预算，而不是分发你的 API Key。
泄露应急#
怀疑密钥泄露时：
撤销或删除后，该密钥创建的异步结果、生成文件、平台文件与音色将无法再访问。条件允许时，先取回仍需要的结果再撤销；确认泄露时以止损优先。
结果与媒体的访问控制#
- 结果、生成文件、平台文件与音色都绑定到创建它们的密钥，其他密钥（包括同一账号的其他密钥）无法访问。
- 生成文件保存在私有对象存储，只能通过最长 300 秒有效的签名链接下载；匿名直接访问会被拒绝。
- 签名链接本身可被任何持有者使用，请勿公开分享；需要长期分发时，先下载到你自己的存储。
请求内容#
- 只提交你有权处理的数据，并确认适合交给相应厂商处理；海外型号涉及跨境处理，见区域与数据处理。
- 提供媒体 URL 时，使用专门生成的短期链接，不要使用携带登录态或长期凭据的地址。平台拒绝下载内网和保留地址。
- 幂等键会出现在响应头和你的日志中，不要把个人信息或密钥放进去。
账号安全#
- 账号停用后，名下所有密钥立即无法调用。
- 定期检查「我的 Key」，删除不再使用的密钥。
- OAuth 应用的客户端密钥（
tts_cs_…）同样只能保存在服务器端，管理方式见 TokenToSea 登录。
报告安全问题#
发现安全漏洞或可疑活动时，请通过获取支持中的方式联系我们。报告中不要包含有效密钥或其他凭据。