Autenticação

Crie uma conta Meshy e uma chave de API e, em seguida, envie a chave em cada requisição.

Chaves de API

Crie uma conta Meshy

Você precisa de uma conta Meshy para criar e gerenciar chaves de API. Uma requisição sem uma chave de API retorna 401 Unauthorized.

Para criar uma conta, cadastre-se no site da Meshy.

Crie uma chave de API

Depois de criar uma conta, você pode criar chaves de API na página API Keys da Developer Platform.

Você pode criar várias chaves de API para finalidades diferentes, por exemplo, uma para o seu aplicativo iOS e outra para o seu aplicativo web. A Meshy monitora o uso de cada chave separadamente, e você pode revogar uma chave a qualquer momento.

Você também pode definir um limite mensal de créditos em qualquer chave. O limite restringe o quanto a chave pode gastar, independentemente do uso geral da sua conta. Por exemplo, use-o para uma chave que você fornece a um contratado ou que usa em um único ambiente.

Para criar uma chave de API, siga estas etapas:

1. Na página API Keys, clique em Create API Key.
2. Em Name, digite um nome para a chave.
3. Opcional: em Monthly credit limit (optional), digite o número máximo de créditos que a chave pode gastar por mês.
4. Clique em Create.
5. Copie a chave e armazene-a em um local seguro. Você não poderá visualizar a chave novamente depois de fechar o diálogo.

Use uma chave de API

Envie a chave de API no cabeçalho Authorization de cada requisição, como um token Bearer:

{
  "Authorization": "Bearer msy_sOmEbOgUsApIkEyFoReXaMpLe1234567890"
}

O prefixo Bearer no valor do cabeçalho é obrigatório. Para mais informações sobre tokens bearer, consulte a RFC 6750.

Restrinja uma chave a endereços IP

Uma lista de permissões de IP limita uma chave de API aos endereços de onde vêm suas requisições, como os endereços públicos de saída dos seus servidores. A Meshy então recusa a chave vinda de qualquer outro endereço, de modo que uma chave copiada se torna muito menos útil. Uma chave sem lista de permissões funciona a partir de qualquer endereço.

Para chaves de uma equipe, apenas administradores da equipe podem alterar a lista de permissões. Chaves de CLI não têm uma.

Para definir uma lista de permissões, siga estas etapas:

1. Na página API Keys, abra o menu da chave e clique em Manage IP allowlist.
2. Adicione cada endereço ou intervalo. Opcional: dê um nome a cada um, por exemplo, office NAT.
3. Opcional: clique em Check impact para ver quantas das requisições da chave nos últimos 7 dias a lista teria bloqueado.
4. Salve a lista.

Cada entrada é um endereço IPv4 ou IPv6, como 203.0.113.5, ou um bloco CIDR, como 203.0.113.0/24. A lista segue estas regras:

• Uma chave pode ter até 50 entradas, e um nome pode ter até 60 caracteres.
• Uma entrada precisa ser um endereço público. A Meshy recusa endereços privados, de loopback e link-local, como 10.0.0.0/8 ou 127.0.0.1, porque nenhuma requisição chega à API a partir deles. Use o endereço público de onde seu tráfego sai.
• Uma entrada não pode permitir qualquer endereço, como 0.0.0.0/0. Para aceitar qualquer endereço, remova a lista de permissões.
• A Meshy salva um bloco CIDR como seu endereço de rede. Por exemplo, 203.0.113.5/24 é salvo como 203.0.113.0/24, que é o intervalo que a Meshy aplica.

O diálogo também lista os endereços que usaram a chave nos últimos 7 dias, para que você possa adicioná-los diretamente. Para uma chave com muito uso, a Meshy faz uma amostragem dos endereços, então a lista pode não mostrar todos eles.

As alterações entram em vigor na próxima requisição, em no máximo um minuto. Depois de remover uma lista de permissões, qualquer endereço pode usar a chave novamente dentro de um minuto.

Uma requisição vinda de um endereço fora da lista de permissões retorna 403 Forbidden com o código de erro ip_not_authorized. A mensagem de erro indica o endereço recusado, para que você possa adicioná-lo caso seja seu. Uma requisição recusada não usa créditos nem conta para os seus limites de taxa.

Segurança

Siga estas diretrizes para manter seus dados e requisições seguros, em conjunto com as práticas de segurança da sua própria equipe.

Transport Layer Security

A Meshy criptografa seus dados em repouso, e a Meshy API usa TLS para criptografar os dados em trânsito. Todas as requisições de e para a API passam por HTTPS, e uma requisição por HTTP recebe 301 Moved Permanently.

Evite HTTP sempre que possível. Se você precisar enviar uma requisição por HTTP, instrua seu cliente HTTP a seguir o redirecionamento para HTTPS. Os exemplos a seguir mostram como fazer isso:

# use `-L` to follow HTTP to HTTPS redirections
curl -L https://api.meshy.ai/openapi/v1/balance \
  -H "Authorization: Bearer ${YOUR_API_KEY}"

Os redirecionamentos funcionam apenas para requisições GET. Clientes HTTP reenviam um POST redirecionado como um GET sem o corpo, então sempre chame https:// diretamente para criar tarefas.

Segurança da chave de API

Depois que você cria uma chave de API, a Developer Platform não a exibe novamente. Armazene-a em um local seguro, porque qualquer pessoa que tiver a chave pode chamar a Meshy API em seu nome. A equipe da Meshy também não consegue visualizar nem recuperar uma chave revogada para você.

Se você achar que outra pessoa tem a sua chave, revogue-a na página API Keys. Uma chave revogada deixa de funcionar.

Uma lista de permissões de IP torna uma chave vazada muito menos útil, mas não substitui a revogação da chave. Se uma chave vazar, revogue-a e crie uma nova.

Divulgação de segurança

Se você encontrar um problema de segurança na Meshy API, entre em contato com o suporte da Meshy. A Meshy valoriza a divulgação responsável e faz todo o possível para reconhecer a sua contribuição.