Skip to main content
所有 API 請求均通過 Bearer 令牌（theo_sk_... 密鑰）進行身份驗證。

​
API 密鑰安全

  • 靜態哈希存儲 — 密鑰在存儲前會經過 SHA-256 哈希處理。丟失的密鑰無法找回，只能重新生成一個新密鑰。
  • 前綴標識 — 所有密鑰均使用 theo_sk_ 前綴。
  • 權限範圍限定 — 每個密鑰都可以限定到特定的 API 能力範圍（補全、技能、工具、連接器、賬單）。
  • 按密鑰限流 — 系統會根據你的套餐等級，針對每個密鑰單獨執行限流。
  • 即時撤銷 — 可在控制台或通過 API 立即撤銷任意密鑰，撤銷後的密鑰會在數秒內被拒絕使用。
  • 密鑰輪換 — 支持在可配置的寬限期內輪換密鑰，期間新舊密鑰同時可用。

​
密鑰輪換

我們建議定期輪換 API 密鑰：
  1. 在控制台創建一個新密鑰
  2. 更新你的環境變量 / 密鑰管理器（secrets manager）
  3. 確認流量已切換到新密鑰
  4. 撤銷舊密鑰
在切換過程中，新舊密鑰會同時生效，不會造成任何停機。

​
控制台身份驗證

Web 控制台支持郵箱/密碼登錄、社交賬號登錄，以及可選的多因素驗證（MFA）。會話令牌的有效期較短，且僅限於已通過驗證的會話使用。

​
傳輸安全

  • 所有 API 流量均通過 TLS 1.2+ 加密
  • 所有 Theo 域名均強制啓用 HSTS
  • 系統會持續監控證書透明度（Certificate Transparency）日誌

​
供應鏈安全：驗證 npm 包

從版本 0.1.4 起，每個官方 Theo npm 包（@hitheo/sdk、@hitheo/mcp、@hitheo/telegram、@hitheo/whatsapp）都會附帶 npm 溯源信息（provenance） 一起發佈。每個安裝包（tarball）都攜帶一份經過加密簽名的證明（attestation），將該發佈版本與生成它的公開 CI 工作流及 git 提交精確關聯。 安裝前可通過以下方式進行驗證：
你也可以查看某個具體發佈版本的證明信息 URL：
該證明可確認每個安裝包均由官方 Theo 發佈流水線構建，且在到達 npm 註冊表之前未被替換或篡改。