Autenticazione

Crea un account Meshy e una chiave API, quindi invia la chiave con ogni richiesta.

Chiavi API

Crea un account Meshy

Hai bisogno di un account Meshy per creare e gestire le chiavi API. Una richiesta senza una chiave API restituisce 401 Unauthorized.

Per creare un account, registrati sul sito web di Meshy.

Crea una chiave API

Dopo aver creato un account, puoi creare chiavi API nella pagina API Keys della Developer Platform.

Puoi creare diverse chiavi API per scopi diversi, ad esempio una per la tua app iOS e un'altra per la tua app web. Meshy monitora l'utilizzo di ciascuna chiave separatamente e puoi revocare una chiave in qualsiasi momento.

Puoi anche impostare un limite mensile di crediti su qualsiasi chiave. Il limite definisce il massimo che la chiave può spendere, indipendentemente dall'utilizzo complessivo del tuo account. Ad esempio, usalo per una chiave che fornisci a un collaboratore esterno o che usi in un determinato ambiente.

Per creare una chiave API, segui questi passaggi:

1. Nella pagina API Keys, fai clic su Create API Key.
2. In Name, inserisci un nome per la chiave.
3. Facoltativo: in Monthly credit limit (optional), inserisci il numero massimo di crediti che la chiave può spendere ogni mese.
4. Fai clic su Create.
5. Copia la chiave e conservala in un luogo sicuro. Non potrai visualizzare di nuovo la chiave dopo aver chiuso la finestra di dialogo.

Usa una chiave API

Invia la chiave API nell'header Authorization di ogni richiesta, come token Bearer:

{
  "Authorization": "Bearer msy_sOmEbOgUsApIkEyFoReXaMpLe1234567890"
}

Il prefisso Bearer nel valore dell'header è obbligatorio. Per maggiori informazioni sui bearer token, consulta RFC 6750.

Limita una chiave a indirizzi IP

Un allowlist di IP limita una chiave API agli indirizzi da cui provengono le tue richieste, ad esempio gli indirizzi pubblici di uscita dei tuoi server. Meshy rifiuta quindi la chiave da qualsiasi altro indirizzo, rendendo una chiave copiata molto meno utile. Una chiave senza allowlist funziona da qualsiasi indirizzo.

Per le chiavi di un team, solo gli amministratori del team possono modificare l'allowlist. Le chiavi CLI non ne hanno una.

Per impostare un allowlist, segui questi passaggi:

1. Nella pagina API Keys, apri il menu della chiave e fai clic su Manage IP allowlist.
2. Aggiungi ogni indirizzo o intervallo. Facoltativo: assegna un nome a ciascuno, ad esempio office NAT.
3. Facoltativo: fai clic su Check impact per vedere quante delle richieste della chiave negli ultimi 7 giorni sarebbero state bloccate dall'elenco.
4. Salva l'elenco.

Ogni voce è un indirizzo IPv4 o IPv6, come 203.0.113.5, oppure un blocco CIDR, come 203.0.113.0/24. L'elenco segue queste regole:

• Una chiave può avere fino a 50 voci e un nome può contenere fino a 60 caratteri.
• Una voce deve essere un indirizzo pubblico. Meshy rifiuta indirizzi privati, di loopback e link-local, come 10.0.0.0/8 o 127.0.0.1, perché nessuna richiesta raggiunge l'API da essi. Usa l'indirizzo pubblico da cui esce il tuo traffico.
• Una voce non può consentire qualsiasi indirizzo, come 0.0.0.0/0. Per accettare qualsiasi indirizzo, rimuovi l'allowlist.
• Meshy salva un blocco CIDR come il suo indirizzo di rete. Ad esempio, 203.0.113.5/24 viene salvato come 203.0.113.0/24, che è l'intervallo applicato da Meshy.

La finestra di dialogo elenca anche gli indirizzi che hanno usato la chiave negli ultimi 7 giorni, così puoi aggiungerli direttamente. Per una chiave molto utilizzata, Meshy campiona gli indirizzi, quindi l'elenco potrebbe non mostrarli tutti.

Le modifiche si applicano alla richiesta successiva, entro al massimo un minuto. Dopo aver rimosso un allowlist, qualsiasi indirizzo può usare di nuovo la chiave entro un minuto.

Una richiesta proveniente da un indirizzo non presente nell'allowlist restituisce 403 Forbidden con il codice di errore ip_not_authorized. Il messaggio di errore indica l'indirizzo rifiutato, così puoi aggiungerlo se è tuo. Una richiesta rifiutata non consuma crediti né conta ai fini dei tuoi limiti di frequenza.

Sicurezza

Segui queste linee guida per proteggere i tuoi dati e le tue richieste, insieme alle pratiche di sicurezza del tuo team.

Transport Layer Security

Meshy cripta i tuoi dati a riposo, e la Meshy API usa TLS per crittografare i dati in transito. Tutte le richieste verso e dall'API passano tramite HTTPS, e una richiesta su HTTP riceve 301 Moved Permanently.

Evita HTTP quando possibile. Se devi inviare una richiesta su HTTP, indica al tuo client HTTP di seguire il reindirizzamento verso HTTPS. Gli esempi seguenti mostrano come fare:

# use `-L` to follow HTTP to HTTPS redirections
curl -L https://api.meshy.ai/openapi/v1/balance \
  -H "Authorization: Bearer ${YOUR_API_KEY}"

I reindirizzamenti funzionano solo per le richieste GET. I client HTTP reinviano un POST reindirizzato come un GET senza il suo corpo, quindi chiama sempre direttamente https:// per creare i task.

Sicurezza della chiave API

Dopo aver creato una chiave API, la Developer Platform non la mostra più. Conservala in un luogo sicuro, perché chiunque possieda la chiave può chiamare la Meshy API a tuo nome. Nemmeno i membri del team Meshy possono visualizzare o recuperare per te una chiave revocata.

Se pensi che qualcun altro sia in possesso della tua chiave, revocala nella pagina API Keys. Una chiave revocata non funziona più.

Un allowlist di IP rende una chiave trapelata molto meno utile, ma non sostituisce la revoca della chiave. Se una chiave trapela, revocala e creane una nuova.

Segnalazione di problemi di sicurezza

Se trovi un problema di sicurezza nella Meshy API, contatta il supporto Meshy. Meshy apprezza la divulgazione responsabile e fa ogni sforzo per riconoscere il tuo contributo.