Skip to main content
所有 API 请求均通过 Bearer 令牌（theo_sk_... 密钥）进行身份验证。

​
API 密钥安全

  • 静态哈希存储 — 密钥在存储前会经过 SHA-256 哈希处理。丢失的密钥无法找回，只能重新生成一个新密钥。
  • 前缀标识 — 所有密钥均使用 theo_sk_ 前缀。
  • 权限范围限定 — 每个密钥都可以限定到特定的 API 能力范围（补全、技能、工具、连接器、账单）。
  • 按密钥限流 — 系统会根据你的套餐等级，针对每个密钥单独执行限流。
  • 即时撤销 — 可在控制台或通过 API 立即撤销任意密钥，撤销后的密钥会在数秒内被拒绝使用。
  • 密钥轮换 — 支持在可配置的宽限期内轮换密钥，期间新旧密钥同时可用。

​
密钥轮换

我们建议定期轮换 API 密钥：
  1. 在控制台创建一个新密钥
  2. 更新你的环境变量 / 密钥管理器（secrets manager）
  3. 确认流量已切换到新密钥
  4. 撤销旧密钥
在切换过程中，新旧密钥会同时生效，不会造成任何停机。

​
控制台身份验证

Web 控制台支持邮箱/密码登录、社交账号登录，以及可选的多因素验证（MFA）。会话令牌的有效期较短，且仅限于已通过验证的会话使用。

​
传输安全

  • 所有 API 流量均通过 TLS 1.2+ 加密
  • 所有 Theo 域名均强制启用 HSTS
  • 系统会持续监控证书透明度（Certificate Transparency）日志

​
供应链安全：验证 npm 包

从版本 0.1.4 起，每个官方 Theo npm 包（@hitheo/sdk、@hitheo/mcp、@hitheo/telegram、@hitheo/whatsapp）都会附带 npm 溯源信息（provenance） 一起发布。每个安装包（tarball）都携带一份经过加密签名的证明（attestation），将该发布版本与生成它的公开 CI 工作流及 git 提交精确关联。 安装前可通过以下方式进行验证：
你也可以查看某个具体发布版本的证明信息 URL：
该证明可确认每个安装包均由官方 Theo 发布流水线构建，且在到达 npm 注册表之前未被替换或篡改。