# 获取 API Key

## 在商家控制台获取

[打开商家控制台](https://b.t.robot-daily.com)

1. 使用有权限的商家账号登录控制台，并选择要对接的商户。
2. 打开 **开发者 → 开放 API**（控制台页面路径 `/api-keys`）。
3. 点击 **创建 API Key**，填写便于识别的名称，例如「测试环境 CRM」。
4. 复制 **API Key** 和 **Secret**，分别配置到你服务端的环境变量或凭证管理系统。

当前实现的列表页也可查看和复制已有 Secret；不要误以为它只在创建时展示。无法看到页面或凭证时，联系商家账号管理者核对权限，不要借用其他商户的凭证。

## 两个值各做什么

| 名称 | 用途 | 是否放到请求里 |
|---|---|---|
| API Key | 识别调用凭证及所属商户 | `X-API-Key` 请求头 |
| Secret | 本地计算 HMAC 签名 | **不发送**，只发送算出的 `X-Signature` |

Secret 不是 API Key，也不是商家登录密码。复制时不要带入首尾空白。

## 保管与撤销

- 测试和生产使用各自环境中的凭证；建议为不同用途创建独立凭证，便于撤销。
- 常规业务调用放在你的服务端，不把 Secret 嵌入网页、移动 App、源码仓库或日志。
- 凭证泄露时在控制台撤销旧 Key，并创建新 Key 替换服务端配置。撤销后旧 Key 不能再签名调用。
- [在线调试](../debug.md) 是临时排查工具：输入 Secret 后它会出现在当前浏览器内存中，只在可信设备上使用；调试结束点击「清除凭证与结果」。

控制台的凭证管理接口属于商家后台，不是本套 Open API 的接口；对接系统通过管理员取得凭证后再调用开放接口。