API 密钥

在所选 Runtime 的“API 密钥”中创建密钥。名称应能看出应用和环境；除非集成必须管理资源，否则选择仅发送权限。

正确生命周期

创建后立即复制完整密钥，它不会再次显示。把 Runtime URL 和密钥存入应用的 secret 管理系统并测试。轮换时先创建新密钥、更新所有调用方并验证流量，再撤销旧密钥。生产、测试、CI 和每个插件分别使用密钥，绝不能放进浏览器代码。

排查权限

撤销会立即阻止新请求，但不删除历史邮件。401 表示缺失、无效或已撤销；403 表示有效但权限不足或被策略阻止。确认请求发往签发该密钥的同一个 Runtime。