Autenticação

As APIs públicas usam a chave GloopAPI do próprio aplicativo. Mantenha as chaves no servidor ou em variáveis de ambiente locais seguras; não as coloque em páginas, repositórios, links compartilhados ou logs.

Identidade da solicitação

Autentique as solicitações com Authorization: Bearer $GLOOP_API_KEY. Envie a chave no cabeçalho para evitar sua exposição em URLs. As listas de modelos usam sempre o formato OpenAI.

A chave, a conta e as autorizações de modelos/ferramentas determinam o acesso em conjunto. Outra chave da mesma conta não equivale à identidade da tarefa original: tarefas históricas, execuções de ferramentas e arquivos geralmente exigem a mesma conta e chave. Permissões de modelos não concedem automaticamente permissões de ferramentas; a execução de ferramentas usa a interseção das permissões do grupo da conta e das autorizações de ferramentas da chave.

Leituras comuns e persistentes

Texto comum, imagens síncronas, voz, catálogos de modelos e clonagem de áudio usam autenticação comum. Quando a cota se esgota, consultas de status ou resultado de clonagem também podem ser rejeitadas; a recuperação do resultado não é garantida.

Rotas de imagens e vídeos persistentes, execuções de ferramentas e arquivos usam sua autenticação persistente correspondente, permitindo consultar histórico com chaves válidas de cota esgotada. Expiração, revogação, restrições de IP e bloqueio de conta ainda causam rejeição. Novas gerações também exigem verificações de orçamento, permissões, configuração e recursos; poder ler o histórico não significa poder criar tarefas.

O histórico de imagens ainda verifica as permissões atuais do modelo. As verificações de histórico e recuperação de vídeo variam por rota; isso não permite afirmar que todas as leituras históricas aplicam a política completa de geração. Consulte a descrição de autenticação de cada endpoint.

Arquivos e links assinados

Obtenha metadados e URLs de download com a chave original. A própria URL temporária assinada concede leitura; não a compartilhe publicamente nem encaminhe a chave de API ao armazenamento de objetos. O conteúdo de recursos de imagem aceita Bearer ou assinatura do servidor; quando há parâmetros de assinatura, só a assinatura é validada, sem recorrer a Bearer em caso de falha.

Em 401, verifique a chave e sua validade; em 403, a conta, o IP e as permissões. Corrija a causa antes de continuar. Confira envios desconhecidos pelo procedimento de recuperação; não duplique a geração ao trocar de chave.