Xác thực & API key

Loại khoá, môi trường Sandbox/Production, phạm vi quyền và cách bảo vệ khoá.

Các loại khoá

Khoá	Dạng	Dùng ở đâu	Bí mật?
API key Sandbox	`ak_test_…`	Server của bạn, giai đoạn thử nghiệm	Có
API key Production	`ak_live_…`	Server của bạn, sau khi được duyệt Go-Live	Có
Khoá Voicebox	`vb_…`	Trang web / app (thẻ script, WebView)	Không — khoá công khai
Identity secret	chuỗi ngẫu nhiên	Server của bạn, để ký danh tính người dùng	Có

Mọi lời gọi Core API dùng header Authorization:

POST /api/v1/agent/process HTTP/1.1
Host: api.aivigo.tech
Authorization: Bearer ak_live_xxxxxxxxxxxxxxxx
Content-Type: application/json

Thiếu hoặc sai khoá ⇒ 401. Khoá đã thu hồi ⇒ 401 ngay lập tức.

Chọn khi tạo khoá trên Cổng đối tác → API Keys:

Scope	Cho phép
`agent:process`	Gọi `/agent/process`, đọc lịch sử phiên, lượng dùng của người dùng cuối
`knowledge:read`	Đọc kho tri thức
`admin:read`	Đọc cấu hình (App, agent…)

Cấp ít quyền nhất đủ dùng. Phần lớn tích hợp chỉ cần agent:process.

Khi tạo khoá, bạn có thể chọn một Ứng dụng (App):

Gắn App — mọi lượt gọi tự thuộc App đó, không cần gửi trường app. Khuyến nghị.
Tất cả App — phải gửi "app": "<app_id>" trong từng request.

	Sandbox	Production
Tiền tố khoá	`ak_test_`	`ak_live_`
Điều kiện	Có ngay sau khi xác minh email	Được Aivigo duyệt hồ sơ Go-Live
Hệ thống nghiệp vụ	Mô phỏng	Hệ thống thật theo thoả thuận
Giới hạn	60 lượt/phút, 2.000 lượt/ngày	Theo gói và cấu hình tenant

Lưu khoá trong secret manager / biến môi trường của server; không commit vào git, không nhúng vào app di động hay JavaScript phía trình duyệt.
Mỗi môi trường / hệ thống một khoá riêng để thu hồi độc lập.
Nghi lộ khoá ⇒ Thu hồi khoá trên Cổng đối tác rồi tạo khoá mới.
Theo dõi cột Dùng gần nhất để phát hiện khoá không còn dùng và thu hồi.