Управляйте ключами через CLI

Используйте CLI, если установленный выпуск поддерживает keys; проверьте это в локальной справке. Войдите и выполните unlimgpt whoami --json до изменения credentials: обычный whoami печатает email, а JSON также содержит ID организации. Сверьте его с организацией в браузере. Нужны право управлять её ключами и доступное системное хранилище. API-ключ авторизует API-запросы; он отделён от сессии браузера и OAuth-доступа CLI.

Создание и просмотр

unlimgpt keys list
unlimgpt keys list --json
unlimgpt keys create --name Workstation --expires-in 90d

Обычный список показывает ID, имя и активное состояние. JSON дополнительно содержит безопасные метаданные, например срок и последнее использование при наличии; ни один формат не печатает полный ключ или hash. Назовите ключ по его нагрузке и задайте срок не больше 90 дней — это максимум CLI. Создание сохраняет секрет в системном хранилище и выбирает новый ключ для активного профиля CLI. Для нового клиента configure может создать отдельный ключ во время настройки. Если системное хранилище недоступно, CLI завершается без сохранения в открытый файл.

Проверьте новый ключ бесплатным каталогом моделей до платного запроса. Убедитесь, что организация и видимые модели соответствуют ожиданиям. Успешный вывод списка доказывает только доступ к метаданным ключей; он не доказывает, что конкретный клиент настроен на новый секрет.

Изменение прав

Проверьте поддержку unlimgpt keys permissions --help в установленном выпуске. Владелец или администратор выбранной организации может заменить набор прав ключа:

unlimgpt keys permissions KEY_ID --scope models:read --scope inference:write --json
unlimgpt keys permissions KEY_ID --scope models:read
unlimgpt keys permissions KEY_ID --clear

--scope повторяется для каждого права. Вторая команда оставляет только чтение каталога и отключает генерацию; --clear снимает оба права. Команда требует явного набора или --clear и не принимает их вместе. Сервер проверяет организацию и право обновления ключа. Изменение не выбирает другой ключ профиля, не меняет секрет, срок или бюджет и не расширяет права организации или тарифа. JSON содержит безопасные метаданные без полного ключа, hash и внутренней metadata. При отказе сервера команда завершается с ненулевым кодом; локальные credentials остаются прежними.

Установите лимиты ключа

Если нагрузке нужен более узкий доступ, чем у организации, задайте полную политику штатной командой:

unlimgpt keys policy KEY_ID --policy '{"allowedModelIds":["gpt-5.6-sol"],"allowedFeatures":["streaming"],"concurrencyLimit":2,"rateLimit":{"max":10,"windowMs":60000}}' --json

JSON-объект заменяет политику целиком и обязан содержать все четыре поля. null наследует настройку организации или тарифа, пустой массив запрещает все модели или возможности. Лимиты — положительные целые числа. Команда использует выбранную организацию и возвращает только безопасные метаданные; секрет, срок, права, бюджетная lineage и настройки организации не меняются. Используйте ID моделей из каталога; новые идентификаторы моделей и возможностей не требуют выпуска CLI.

Ротация и отзыв

unlimgpt keys rotate KEY_ID --client codex
unlimgpt keys revoke KEY_ID

Используйте keys rotate, только если знаете всех потребителей старого ключа и CLI может автоматически обновить каждого в этой команде. Укажите --client для каждого такого клиента. Не применяйте автоматическую ротацию для Cursor, Cline, Roo и других клиентов с ручной настройкой: опубликованный CLI не проверяет их секретное поле и не может найти пропущенного вами потребителя. Ротация создаёт замену, обновляет названные автоматические клиенты, бесплатно проверяет новый ключ через каталог моделей и затем сразу пытается отозвать старый ключ. Результат complete не доказывает успешный реальный запрос из каждого клиента.

Если ключ общий с ручным, пошаговым или не включённым в команду клиентом, выполняйте поэтапную замену. Для смеси клиентов под управлением CLI и клиентов с пошаговой настройкой создайте замену через unlimgpt keys create --name RotatedWorkload: ключ сохранится в активном профиле CLI. Через configure обновите каждого клиента, вставьте секрет в штатные поля ручных клиентов, отправьте реальный запрос из каждого, пока старый ключ ещё работает, и только затем отзовите его по ID. Ключ, созданный в браузере, нельзя импортировать в профиль CLI; используйте API-ключи для полностью ручной группы клиентов. Отдельный ключ для каждой нагрузки упростит следующую ротацию. Структурированный результат различает complete, rolled_back и revoke_pending. При revoke_pending замена работает в каталоге, но старый ключ нужно отозвать явно. При rolled_back до повтора проверьте список ключей и receipts клиентов: ненулевой код выхода не доказывает, что новый ключ не создавался.

Отзывайте ключ по ID из списка текущей организации; команда запросит подтверждение. В автоматизации без интерактивного терминала сверяйте точный ID до --yes. Отзыв останавливает этот ключ, но не завершает сессии браузера и не отзывает OAuth-доступ CLI. После изменения повторно проверьте список и работу клиента с заменой. Тот же жизненный цикл доступен в API-ключах. О хранении — безопасность credentials, о потере устройства — безопасность аккаунта.