> ## Documentation Index
> Fetch the complete documentation index at: https://docs.hitheo.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# 身份驗證

> API 密鑰安全、控制台登錄認證與最佳實踐。

所有 API 請求均通過 Bearer 令牌（`theo_sk_...` 密鑰）進行身份驗證。

## API 密鑰安全

* **靜態哈希存儲** — 密鑰在存儲前會經過 SHA-256 哈希處理。丟失的密鑰無法找回，只能重新生成一個新密鑰。
* **前綴標識** — 所有密鑰均使用 `theo_sk_` 前綴。
* **權限範圍限定** — 每個密鑰都可以限定到特定的 API 能力範圍（補全、技能、工具、連接器、賬單）。
* **按密鑰限流** — 系統會根據你的套餐等級，針對每個密鑰單獨執行限流。
* **即時撤銷** — 可在控制台或通過 API 立即撤銷任意密鑰，撤銷後的密鑰會在數秒內被拒絕使用。
* **密鑰輪換** — 支持在可配置的寬限期內輪換密鑰，期間新舊密鑰同時可用。

## 密鑰輪換

我們建議定期輪換 API 密鑰：

1. 在控制台創建一個新密鑰
2. 更新你的環境變量 / 密鑰管理器（secrets manager）
3. 確認流量已切換到新密鑰
4. 撤銷舊密鑰

在切換過程中，新舊密鑰會同時生效，不會造成任何停機。

## 控制台身份驗證

Web 控制台支持郵箱/密碼登錄、社交賬號登錄，以及可選的多因素驗證（MFA）。會話令牌的有效期較短，且僅限於已通過驗證的會話使用。

## 傳輸安全

* 所有 API 流量均通過 **TLS 1.2+** 加密
* 所有 Theo 域名均強制啓用 HSTS
* 系統會持續監控證書透明度（Certificate Transparency）日誌

## 供應鏈安全：驗證 npm 包

從版本 `0.1.4` 起，每個官方 Theo npm 包（`@hitheo/sdk`、`@hitheo/mcp`、`@hitheo/telegram`、`@hitheo/whatsapp`）都會附帶 **npm 溯源信息（provenance）** 一起發佈。每個安裝包（tarball）都攜帶一份經過加密簽名的證明（attestation），將該發佈版本與生成它的公開 CI 工作流及 git 提交精確關聯。

安裝前可通過以下方式進行驗證：

```bash theme={null}
npm audit signatures @hitheo/sdk @hitheo/mcp @hitheo/telegram @hitheo/whatsapp
```

你也可以查看某個具體發佈版本的證明信息 URL：

```bash theme={null}
npm view @hitheo/sdk@latest dist.attestations
```

該證明可確認每個安裝包均由官方 Theo 發佈流水線構建，且在到達 npm 註冊表之前未被替換或篡改。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.