> ## Documentation Index
> Fetch the complete documentation index at: https://docs.hitheo.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# 身份验证

> API 密钥安全、控制台登录认证与最佳实践。

所有 API 请求均通过 Bearer 令牌（`theo_sk_...` 密钥）进行身份验证。

## API 密钥安全

* **静态哈希存储** — 密钥在存储前会经过 SHA-256 哈希处理。丢失的密钥无法找回，只能重新生成一个新密钥。
* **前缀标识** — 所有密钥均使用 `theo_sk_` 前缀。
* **权限范围限定** — 每个密钥都可以限定到特定的 API 能力范围（补全、技能、工具、连接器、账单）。
* **按密钥限流** — 系统会根据你的套餐等级，针对每个密钥单独执行限流。
* **即时撤销** — 可在控制台或通过 API 立即撤销任意密钥，撤销后的密钥会在数秒内被拒绝使用。
* **密钥轮换** — 支持在可配置的宽限期内轮换密钥，期间新旧密钥同时可用。

## 密钥轮换

我们建议定期轮换 API 密钥：

1. 在控制台创建一个新密钥
2. 更新你的环境变量 / 密钥管理器（secrets manager）
3. 确认流量已切换到新密钥
4. 撤销旧密钥

在切换过程中，新旧密钥会同时生效，不会造成任何停机。

## 控制台身份验证

Web 控制台支持邮箱/密码登录、社交账号登录，以及可选的多因素验证（MFA）。会话令牌的有效期较短，且仅限于已通过验证的会话使用。

## 传输安全

* 所有 API 流量均通过 **TLS 1.2+** 加密
* 所有 Theo 域名均强制启用 HSTS
* 系统会持续监控证书透明度（Certificate Transparency）日志

## 供应链安全：验证 npm 包

从版本 `0.1.4` 起，每个官方 Theo npm 包（`@hitheo/sdk`、`@hitheo/mcp`、`@hitheo/telegram`、`@hitheo/whatsapp`）都会附带 **npm 溯源信息（provenance）** 一起发布。每个安装包（tarball）都携带一份经过加密签名的证明（attestation），将该发布版本与生成它的公开 CI 工作流及 git 提交精确关联。

安装前可通过以下方式进行验证：

```bash theme={null}
npm audit signatures @hitheo/sdk @hitheo/mcp @hitheo/telegram @hitheo/whatsapp
```

你也可以查看某个具体发布版本的证明信息 URL：

```bash theme={null}
npm view @hitheo/sdk@latest dist.attestations
```

该证明可确认每个安装包均由官方 Theo 发布流水线构建，且在到达 npm 注册表之前未被替换或篡改。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.