# 认证

SocialToAI 用 API Key 认证。调用 API 或 MCP 服务时，把它放在 Authorization 请求头里。Key 以 stai_live_ 开头，只在创建时显示一次，我们只保存它的哈希，所以之后无法再次显示。ChatGPT 和 Claude 网页版、桌面版连接 MCP 服务时改为登录授权，不用贴 Key。

- 页面：https://socialtoai.com/zh/docs/authentication/
- 最近更新：2026-10-17

## Key 放在哪里

| 位置 | 写法 | HTTP API | MCP |
| --- | --- | --- | --- |
| `Authorization` 请求头 | `Authorization: Bearer <YOUR_API_KEY>` | 是 | 是 |
| `X-API-Key` 请求头 | `X-API-Key: <YOUR_API_KEY>` | 是 | 是 |

**cURL**

```
curl https://api.socialtoai.com/v1/search \
  -H "Authorization: Bearer $SOCIALTOAI_KEY" \
  -H "Content-Type: application/json" \
  -d '{"platform":"reddit","query":"saturn rings"}'
```

`X-API-Key` 的效果一样，给设不了 `Authorization` 的客户端用。只用其中一种；同时给了几个且不一致，请求会被拒绝。

## 从 ChatGPT 和 Claude 登录授权

ChatGPT 和 Claude 网页版、桌面版用 OAuth 连接 `https://mcp.socialtoai.com/mcp`：添加地址，点 Connect，用邮箱验证码登录，再点“允许”。第一次来的话，登录这一步就会建好账户。应用拿到的是一小时有效、会自动续期的令牌，任何地方都不用复制 Key。这个连接会出现在控制台的 API Keys 里，名字就是应用名，可以给它设每日上限，也可以立刻撤销；计费和限制与 Key 相同。

任何路由都不收写在地址里的 Key：这样的请求会被拒绝，而且这把 Key 已经暴露，应当更换。[MCP 页](https://socialtoai.com/zh/mcp.md) 有每个客户端的步骤。

## 不带 Key

工具（7 个）：品牌口碑、评论分析、账号监测、找达人、达人档案、批量链接数据、爆款发现。不带 Key 的请求按网络地址限速，每分钟 60 次。凡是返回数据的调用都需要 Key。

## Key 被拒绝时

返回 HTTP 401，代码是 `unauthorized`，`reason` 说明是哪种情况。不扣费。

| reason | 返回里怎么说 |
| --- | --- |
| `missing` | Key 缺失、粘贴不完整或不存在，本次没有扣费。 |
| `invalid` | Key 缺失、粘贴不完整或不存在，本次没有扣费。 |
| `key_in_query` | 这个地址不收网址里的 Key；这把 Key 已经暴露，请撤销并新建一把，放在请求头里。本次没有扣费。 |
| `suspended` | 这个账户已被暂停，本次没有扣费。 |
| `expired` | 这把 Key 已到期，本次没有扣费。 |
| `revoked` | 这把 Key 已被撤销，本次没有扣费。 |

## Key 泄露了怎么办

在控制台撤销它，再新建一把。撤销后立即失效。Key 不能原地更换：新的一把就是新的密钥。