金鑰的運作方式
金鑰綁定單一公司，並有自己的權限範圍（scope）清單。Alforse 會同時依兩項限制授權每個請求，兩者都允許時請求才會成功：- 儲存在金鑰上的範圍，以及
- 建立者當下所擁有的權限。
何時需要金鑰，何時不需要
兩種流程的詳細資訊請參閱「驗證」。
建立金鑰
- 前往設定 → API 金鑰，選取新增 API 金鑰。
- 輸入名稱。名稱在您的公司內必須是唯一的。
- 可選擇性設定到期於。留空則金鑰永不過期。
- 授予整合所需的範圍，然後儲存。
- 立即從對話框複製金鑰。同一個對話框也會提供 MCP 連線指令。
呼叫 API
每個操作都是對https://api.alforse.com 上 /api/v1/{module}/{operation} 的 POST 請求，並將金鑰作為 bearer 權杖放在 Authorization 標頭中。
權限、方案與速率限制
範圍
每個範圍的寫法為module_action，例如 sales_view 或 inventory_create。請只授予整合會用到的範圍：沒有任何範圍的金鑰雖然能通過驗證，卻既無法讀取也無法寫入資料。範圍的編輯與金鑰的刪除，從下一個請求起立即生效。
方案
金鑰僅適用於 Business 或 Partner 方案的公司（功能API_KEYS）。在 Starter 方案上，無論金鑰持有哪些範圍，每個請求都會得到 403 回應。
速率限制
應用程式中沒有設定此限制的選項；如果整合確實需要更多，請聯絡 Alforse 支援。金鑰超過限制後，請求會得到
429（Rate limit exceeded），並附帶 Retry-After 與 X-RateLimit-* 標頭。請等待 Retry-After 指定的間隔，再重新傳送請求。
選擇 API
有了金鑰，您可以使用兩種介面。請先從 Alforse API 開始，只有在 Alforse API 沒有提供所需操作時，才改用 Data API。Alforse API（建議）
對 Alforse API 的呼叫會經過服務層。該層會檢查您的輸入、執行權限控管，並更新變更所影響的任何衍生資料。- 同一個操作，兩種傳輸方式。操作在 HTTP（
POST /api/v1/{module}/{operation}）和 MCP 上接受相同的引數。 - 風險標籤。每個操作都標有
READ、WRITE或DESTRUCTIVE，讓用戶端在執行風險較高的操作前先請求確認。 - 參考文件與 SDK。API 參考文件包含範例，以及可用於產生用戶端 SDK 的 OpenAPI 規格。
Data API
Data API 直接透過 REST 公開資料表與檢視。金鑰在此能看到的內容，受到應用程式的列級安全性（row-level security）政策限制。API 金鑰與 Webhook
這兩項功能傳遞流量的方向相反，彼此也互不依賴：
多數整合會將兩者結合：由 webhook 通知有東西改變，整合再使用金鑰讀取最新的記錄。