Autentisering

Alla anrop autentiseras med din API-nyckel (prefix sk-st-). Skicka den i Authorization-headern:

Authorization: Bearer sk-st-your-key

Base-URL för alla OpenAI-kompatibla endpoints:

https://api.staik.se/v1

Anthropic-endpointen

POST /v1/messages accepterar även Anthropic-konventionen x-api-key — samma nyckel fungerar i båda headrarna:

x-api-key: sk-st-your-key

Hantera nycklar säkert

• Lägg nyckeln i en miljövariabel (t.ex. STAIK_API_KEY), aldrig i källkod
• Nycklar lagras hashade hos oss och kan inte visas igen — tappar du bort den genererar du en ny från dashboarden
• Varje svar innehåller rate limit-headers så du kan följa din förbrukning per anrop

Anrop från webbläsaren (CORS)

API:t tar bara emot webbläsaranrop från våra egna domäner. Alla andra origins, http://localhost inkluderat, avvisas redan på preflighten:

400 Disallowed CORS origin

Det är avsiktligt. Ett anrop direkt från webbläsaren måste bära API-nyckeln i klartext i frontend-koden, och nyckeln är kopplad till ditt konto och din tokenpott. Spärren finns för att en nyckel inte ska hamna i en publik bundle av misstag.

Anropa från din backend i stället

Server-till-server-anrop skickar ingen Origin-header, och då gäller inga CORS-regler. curl, Python, Node och alla OpenAI-kompatibla SDK:er fungerar rakt av mot https://api.staik.se/v1.

I utvecklingsmiljön räcker en tunn proxy-route som tar emot anropet från din frontend och lägger på nyckeln på serversidan:

// app/api/chat/route.ts (Next.js)
export async function POST(req: Request) {
  const upstream = await fetch("https://api.staik.se/v1/chat/completions", {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      Authorization: `Bearer ${process.env.STAIK_API_KEY}`,
    },
    body: await req.text(),
  });
  return new Response(upstream.body, { status: upstream.status });
}