2026-11-10 00:22 (UTC+8) APIYI опубликовала уведомление о восстановлении работы: льготный период продлён до 2027-12-31 23:59 (UTC+8). Теперь можно войти в консоль и сразу привязать Passkey и 2FA — ждать 72 часа больше не нужно. Отключение токенов старой системы пока лишь запланировано на 2026-11-11 (UTC+8). Платформа сообщила, что решение о продлении будет зависеть от того, как сервисом пользуются. По состоянию на 2026-11-10 новых уведомлений о том, что токены «уже отключены» или «срок продлён», не было.
Прежде чем приступать, разберитесь в трёх типах учётных данных — так вы не запутаетесь в дальнейших шагах. Для входа на сайт нужны пароль, Passkey и 2FA; для вызова модели — ключ модели, начинающийся с sk-; для проверки баланса и журналов, а также управления ключами из скриптов — персональный токен доступа с префиксом nap_. Эти данные не взаимозаменяемы. В статье мы разберём их настройку по порядку, в том же порядке, что и в личном кабинете.
Passkey, 2FA и токены в APIYI: главное
Эта таблица — основа всей статьи. Если на каком-то этапе возникнут вопросы, возвращайтесь к ней и проверяйте, какой именно учётной записью или ключом вы пользуетесь.
| Учётные данные | Как выглядят | Что позволяют делать | Чего делать не позволяют | Где управлять |
|---|---|---|---|---|
| Данные для входа (пароль, Passkey, 2FA, GitHub) | Отпечаток пальца, распознавание лица, пароль для разблокировки устройства или динамический 6-значный код | Защищают вход в консоль и позволяют повторно подтвердить личность перед чувствительными операциями, например экспортом данных | Не позволяют вызывать модели и управлять API | Личный кабинет |
| Ключ модели (API Key) | Начинается с sk- |
Позволяет вызывать такие модели, как OpenAI, Claude и Gemini | Не защищает вход: если ключ утечёт, 2FA не поможет | Страница токенов |
| Персональный токен доступа | Начинается с nap_ |
Позволяет скриптам проверять баланс и журналы, а также управлять ключами моделей | Не позволяет вызывать модели, менять пароль или настройки двухэтапной проверки | Личный кабинет → Параметры учётной записи |
Адрес личного кабинета: https://api.apiyi.com/account/profile. Также в него можно перейти через пункт «Личный кабинет» в правом верхнем углу сайта или в боковой навигации. Все дальнейшие привязки и создание учётных данных начинаются с этой страницы.
Всё ещё нужно ждать 72 часа? Как теперь работают Passkey и 2FA в APIYI
Правило 72 часов не отменили — его действие приостановлено на время льготного периода. Ниже отдельно перечислены официальная документация, уведомления платформы, логические выводы из порядка действий и то, о чём в документации не сказано. Так проще не принимать предположения за факты.
| Тип информации | Содержание |
|---|---|
| Изначальное официальное правило | Если аккаунт входит только по паролю, перед первой привязкой способа проверки нужно оставаться в одной сессии и в одной среде входа не менее 72 часов. При смене сети отсчёт начинается заново |
| Уведомление платформы (10-04) | С сегодняшнего дня и до 2027-12-31 23:59 (UTC+8) действует льготный период привязки: после входа можно сразу добавить способ проверки. Для входов с высоким риском по-прежнему действуют ограничения прежнего правила |
| Уведомление платформы (11-10) | После переключения серверов 6 ноября льготная политика некоторое время не действовала в новой среде. Сейчас её восстановили |
| После окончания льготного периода | Снова начнёт действовать прежнее правило: в новой среде аккаунту, который входит только по паролю, нужно оставаться в ней не менее 72 часов, прежде чем добавить способ проверки. Уже привязанные способы останутся без изменений |
| Не указано в документации | В документации не сказано, как именно будут блокироваться входы с высоким риском после окончания льготного периода. Дополнительных уведомлений пока нет |
Если после 6 ноября вы видели сообщение о необходимости подождать, причина была в переключении серверов — с аккаунтом всё в порядке. Теперь достаточно обновить страницу и попробовать ещё раз. До конца льготного периода ещё больше года, но лучше привязать способ проверки уже сегодня: тогда после конца 2027 года при входе из новой среды вам не придётся ждать 72 часа.
🎯 Рекомендация: привязка выполняется, когда вы уже вошли в аккаунт. Она лишь добавляет способ проверки и не влияет на баланс, ключи моделей и историю вызовов. Во время привязки вызовы APIYI не прерываются.
В каком порядке подключать Passkey и 2FA в APIYI
Рекомендуемый порядок — сначала подключить Passkey, а затем настроить 2FA как резервный способ. Если сделать наоборот, можно столкнуться с проблемой, о которой расскажем в следующем разделе.
Шаг 1. Подключите Passkey в APIYI
Откройте личный кабинет, прокрутите страницу до самого низа, найдите раздел «Настройки аккаунта» и нажмите Подключить Passkey. В браузере появится системное окно с вопросом, где сохранить ключ доступа для apiyi.com. Сначала убедитесь, что в окне указан именно этот домен. Если домен не совпадает, не продолжайте.
Выберите место для сохранения и подтвердите действие с помощью отпечатка пальца, распознавания лица или пароля для разблокировки экрана. После этого кнопка изменится на Отключить Passkey, а рядом появится время последнего использования. При следующем входе на страницу авторизации вы сможете выбрать вход по Passkey.
От места сохранения зависит, сможете ли вы использовать Passkey на других устройствах. Выбирайте вариант с учётом таблицы:
| Место сохранения | Для каких случаев подходит | Синхронизация |
|---|---|---|
| Связка ключей iCloud | Mac, iPhone, iPad | Синхронизация между вашими устройствами Apple |
| Менеджер паролей Google | Chrome и Android | Синхронизация между устройствами |
| Телефон, планшет или аппаратный ключ безопасности | Временный вход на чужом компьютере: отсканируйте QR-код на компьютере и подтвердите вход на своём телефоне | Ключ хранится на телефоне или аппаратном ключе безопасности |
| Профиль браузера на этом устройстве | Использование только на этой машине | Нет синхронизации: при переходе на другой компьютер или переустановке системы ключ будет потерян |
Перед использованием Passkey учтите несколько моментов. Эта технология основана на WebAuthn / FIDO2: закрытый ключ хранится только на устройстве или в менеджере паролей, а на сервере находится лишь открытый ключ, по которому невозможно восстановить закрытый. Отпечаток пальца и лицо проверяются локально и никуда не отправляются. Passkey нельзя использовать для регистрации нового аккаунта, и он не заменяет пароль: после подключения по-прежнему можно входить по паролю или через GitHub. Кроме того, не подключайте Passkey на общедоступном компьютере.
Шаг 2. Подключите 2FA и сохраните резервные коды
В личном кабинете найдите раздел 2FA в нижней части страницы. Отсканируйте QR-код с помощью Google Authenticator, Microsoft Authenticator или другого приложения, совместимого с TOTP, а затем введите шестизначный код, который обновляется каждые 30 секунд.
После успешного подключения на странице появятся резервные коды — обязательно сохраните их. Они понадобятся для повторного входа, если вы смените телефон, потеряете устройство или случайно удалите приложение-аутентификатор. Не ограничивайтесь скриншотом на том же телефоне, где установлено приложение. Лучше сохраните коды в менеджере паролей на другом устройстве или запишите их на бумаге и уберите в надёжное место.
После подключения при входе на сайт, создании API-ключа, экспорте и других чувствительных операциях система может запросить код 2FA или подтверждение с помощью Passkey. Это штатная проверка безопасности, а не ошибка.
Что делать, если не удаётся привязать Passkey или 2FA в APIYI и появляется сообщение «Не удалось сохранить состояние проверки»
Проблема 1: На странице по-прежнему просят подождать
В период смягчения ограничений доступ открывается отдельно для каждого сеанса входа. В некоторых сеансах, созданных раньше, уже было включено требование повторной проверки, поэтому доступ не откроется автоматически. Повторные попытки в таком сеансе не помогут — система будет и дальше просить подождать. Действуйте по порядку:
- Обновите страницу и попробуйте ещё раз.
- Если система по-прежнему просит подождать, выйдите из аккаунта и войдите снова — будет создан новый сеанс.
- Подождите около минуты, пока система откроет доступ, затем обновите страницу настроек аккаунта и попробуйте привязать Passkey ещё раз.
- Если проблема не исчезла, воспользуйтесь последней версией Chrome, Edge или Safari и убедитесь, что на устройстве настроен пароль блокировки экрана или биометрическая аутентификация.
Некоторые встроенные браузеры в приложениях не поддерживают WebAuthn. Поэтому после нажатия «Привязать Passkey» окно может не появиться. В этом случае откройте страницу в системном браузере.
Проблема 2: После привязки 2FA при попытке привязать Passkey появляется сообщение «Не удалось сохранить состояние проверки»
После привязки 2FA система требует повторно подтвердить текущий сеанс входа. Если сразу после этого привязывать Passkey, появляется сообщение «Не удалось сохранить состояние проверки». Чтобы решить проблему, выйдите из аккаунта и войдите снова, используя пароль и динамический код 2FA. Затем откройте личный кабинет и нажмите «Привязать Passkey» внизу страницы.
Для аккаунтов, созданных с помощью быстрой регистрации через GitHub, входите через GitHub — задавать отдельный пароль не нужно. В любом случае советуем сохранить запасной способ входа: пароль, зарегистрированную почту или GitHub. Не полагайтесь только на Passkey, сохранённый на одном устройстве.
💡 Совет: привязка Passkey изменяет способ проверки. В официальной документации сказано: «Изменение пароля, двухфакторной аутентификации или ключа доступа влечёт за собой отзыв всех персональных токенов доступа». Если после привязки ваши скрипты для администрирования начали возвращать ошибку 401, создайте новый персональный токен доступа в личном кабинете и замените старый. На вызов модели это не повлияет.
Чем отличаются ключи моделей APIYI, персональные токены доступа и токены старой системы
Ключи моделей (sk-) управляются на странице токенов https://api.apiyi.com/token и используются для вызова моделей. Их количество не ограничено. Персональные токены доступа (nap_) создаются в настройках аккаунта личного кабинета и используются для вызова административного API. На один аккаунт можно создать не более 20 таких токенов. Токен старой системы — устаревшее средство доступа к административному API; его заменят персональные токены доступа.
| Параметр | Токен старой системы | Персональный токен доступа |
|---|---|---|
| Права | Все права аккаунта | Выбираются отдельно: чтение, запись и просмотр ключей |
| Количество | 1 на аккаунт | Не более 20 |
| Срок действия | Не ограничен | По умолчанию 30 дней; можно выбрать 90, 180 или 365 дней, задать свой срок или установить бессрочное действие |
| Белый список IP-адресов | Не поддерживается | Поддерживаются IPv4, IPv6 и CIDR. После создания изменить список нельзя |
| Префикс | Нет фиксированного префикса | nap_ |
| Статус | Планируется отключить с 2026-11-11 (UTC+8) | Рекомендуется использовать сейчас |
Замените административный скрипт на персональный токен доступа APIYI
- Откройте личный кабинет, в разделе «Аккаунт» выберите Персональные токены доступа, затем нажмите Создать токен в правом верхнем углу.
- Укажите назначение токена, например «Скрипт сверки» или «Мониторинг баланса». Рекомендуем выбрать длительный срок действия, например 365 дней.
- Пока оставьте список разрешённых IP пустым — это означает, что ограничений нет. Отметьте только те права, которые нужны скрипту.
- После нажатия Создать токен сразу скопируйте и сохраните его, затем замените старое значение в переменных окружения или настройках скрипта на новый токен.
Адрес API и код менять не нужно. Базовый адрес по-прежнему https://api.apiyi.com. Передавайте сам токен в заголовке Authorization — с префиксом Bearer или без него.
Выбирайте права в соответствии с используемыми интерфейсами: лишние разрешения только увеличивают риск.
- Просмотр баланса
GET /api/user/self: отметьте «Личный профиль · Чтение». - Просмотр журналов
GET /api/log/self: отметьте «Использование и личные записи · Чтение». - Просмотр списка или сведений о ключах моделей: отметьте «Ключи моделей · Чтение»; для создания, изменения и удаления — «Ключи моделей · Запись»; для получения ключа в открытом виде — «Ключи моделей · Просмотр ключа».
Право на запись не даёт права на чтение, а право на чтение не позволяет увидеть ключ в открытом виде. Такие действия, как смена пароля и настройка двухфакторной аутентификации, нельзя выполнить с помощью токена, даже если ему предоставлено право на запись. Для этого по-прежнему нужно войти в веб-интерфейс.
Когда скрипт заработает, создайте новый рабочий токен с ограничением по IP и укажите публичные IP-адреса серверов — основного, резервного и других. Если адресов несколько, разделите их запятыми. Переключите скрипт на рабочий токен, а тестовый токен без ограничения по IP удалите. Используйте отдельный токен для каждого скрипта: если он утечёт, достаточно будет удалить только этот токен.
🚀 Рекомендация по переходу: надёжнее всего заменить токены в APIYI до запланированного отключения 2026-11-11. В документации пока нет новых уведомлений о том, произойдёт ли отключение в этот день и будут ли сроки временно продлены. Не рассчитывайте на продление в последний момент.
Что делать в первую очередь, если утёк ключ APIYI или скрипт выдаёт ошибку 401
Утёк ключ модели: сначала отключите его, потом разбирайтесь
Максимально возможный ущерб от утечки ключа модели ограничен балансом аккаунта. Первым делом перейдите на https://api.apiyi.com/token и удалите или отключите этот токен. Это единственный способ сразу остановить потери, поэтому сначала сделайте это, а уже потом выясняйте причину утечки.
Затем создайте новый токен: отключите неограниченный лимит, укажите лимит расходов и, если нужно, отметьте «Включить расширенные параметры», чтобы настроить список разрешённых IP-адресов и доступных моделей. После этого обновите настройки приложения. В конце проверьте журналы вызовов: нет ли там незнакомых моделей, необычного количества запросов или вызовов в подозрительное время. Удалите утёкший ключ из кода, документации, скриншотов и истории переписки.
Если вы размещали ключ в Railway и ещё не меняли его, сначала отключите старый, затем создайте новый, замените переменные окружения и повторно разверните приложение. Если вы не пользовались Railway, менять ключ из-за этого уведомления не нужно.
Скрипт выдаёт ошибку 401 или 403: ориентируйтесь на текст сообщения
| Код состояния | Сообщение | Причина | Что делать |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
Вы всё ещё используете токен старой системы, срок действия которого уже истёк | Создайте персональный токен доступа и замените им старый |
| 401 | This access token may not be used from the current IP address. |
IP-адрес источника запроса не входит в список разрешённых | Изменить список нельзя — создайте новый токен |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
Не выбрано нужное разрешение | Создайте новый токен и отметьте необходимые разрешения |
| 401 | Сообщение только о недействительности токена | Срок действия истёк, токен удалён или вы изменили пароль, двухэтапную аутентификацию либо ключ доступа | Создайте новый токен в личном кабинете |
Предупредить проблему проще, чем устранять последствия. Для тестовых ключей модели отключайте неограниченный лимит, устанавливайте лимит в размере 5–50 долларов и задавайте срок действия. Используйте разные ключи для тестовой и рабочей среды. Не добавляйте реальные ключи в код или Git, а на скриншотах заменяйте их заглушкой вроде sk-your-api-key.
Часто задаваемые вопросы (FAQ)
Вопрос 1: Если я настроил Passkey или двухфакторную аутентификацию (2FA) для APIYI, смогу ли я по-прежнему входить по паролю?
Да. Второй фактор — это дополнительный уровень защиты, а не замена пароля. Вход через GitHub тоже останется доступен. Для некоторых действий потребуется ввести одноразовый код или подтвердить вход с помощью Passkey.
Вопрос 2: Что делать, если я потерял резервные коды 2FA?
Если вы ещё можете войти в аккаунт, откройте личный кабинет, настройте 2FA заново и сохраните новые резервные коды. Если кодов нет и войти не получается, напишите на [email protected]. После проверки личности служба поддержки поможет отключить 2FA.
Вопрос 3: Стоит ли добавлять домашний IP-адрес в список разрешённых для персонального токена доступа?
Не рекомендуем. Внешний IP-адрес домашней или офисной сети может измениться, и тогда запросы начнут неожиданно возвращать ошибку 401. Лучше выдать токену только права на чтение и установить для него короткий срок действия.
Вопрос 4: Можно ли использовать персональный токен доступа для вызова моделей?
Нет. Для вызова моделей по-прежнему нужен ключ модели, начинающийся с `sk-`, а в `base_url` нужно указать `https://api.apiyi.com/v1`. Токен `nap_` используется только для работы с балансом, журналами и интерфейсами управления токенами.
Вопрос 5: Можно ли изменить список разрешённых IP-адресов, если я ошибся при настройке персонального токена доступа?
Нет. После создания персонального токена доступа список разрешённых IP-адресов изменить нельзя: нужно создать новый токен, а затем удалить старый. Для ключей моделей действует отдельная настройка списка разрешённых IP-адресов: его можно временно очистить, а потом заполнить снова. Не путайте эти настройки.
Вопрос 6: Сохранится ли Passkey, если я поменяю телефон?
Это зависит от того, где он сохранён. Passkey, хранящиеся в Связке ключей iCloud или Менеджере паролей Google, синхронизируются. Если Passkey сохранён только в профиле браузера на устройстве, синхронизации не будет. Если устройство потеряно, войдите по паролю или через GitHub, отвяжите старый Passkey и настройте новый на другом устройстве.
Итог: сегодня выполните четыре действия
- Привяжите Passkey: внизу страницы профиля откройте параметры аккаунта и выберите «Привязать Passkey». Лучше сохранить ключ в хранилище с синхронизацией.
- Включите 2FA и сохраните резервные коды отдельно: не храните их только на телефоне, где установлено приложение-аутентификатор.
- Отключите безлимитный лимит для тестового токена: на странице токенов установите небольшой лимит для ключа тестовой модели.
- Замените токен в административных скриптах на персональный токен доступа: до планируемого отключения старых системных токенов 2026-11-11 замените их токенами
nap_.
Все четыре действия можно выполнить со страницы https://api.apiyi.com/account/profile — это займёт всего 10–15 минут. После этого для входа, вызова моделей и административных скриптов будут использоваться разные учётные данные. Если с одним из них возникнет проблема, нужно будет заменить только его.
Автор: техническая команда APIYI
Технические вопросы: больше информации об аккаунтах и токенах — в FAQ по безопасности аккаунтов и персональным токенам доступа в центре документации docs.apiyi.com
