Autenticação

As chaves de API cobram da conta proprietária. O OAuth permite que cada usuário conectado use seus créditos.

Chaves de API#

Use uma chave API no servidor para sua conta, ou OAuth para a conta de cada cliente. Nunca envie chaves em prompts ou argumentos.

HTTP

Authorization: Bearer $TONG_API_KEY

Início rápidoCrie uma chave de API, encontre um modelo, cote uma solicitação e acompanhe o resultado.Referência de ferramentasExplore todas as ferramentas criativas e seus esquemas de solicitação.

Descoberta OAuth#

As chaves de API cobram da conta proprietária. O OAuth permite que cada usuário conectado use seus créditos.

curl 'https://platform.tongai.io/.well-known/oauth-authorization-server'

Configuração

curl --version

HTTP

GET /.well-known/oauth-protected-resourceGET /.well-known/oauth-protected-resource/mcp

Autorização e consentimento#

OAuth usa PKCE S256, URI de redirecionamento exata e recursos separados para REST ou MCP. O consentimento ocorre no Tong. Tokens de atualização são rotacionados a cada uso.

JSON

{  "response_type": "code",  "client_id": "https://your-app.example/oauth/client.json",  "redirect_uri": "https://your-app.example/oauth/callback",  "resource": "https://platform.tongai.io/mcp",  "scope": "catalog:read operations:read generation:write quotes:write credits:spend",  "code_challenge_method": "S256",  "code_challenge": "BASE64URL_SHA256_OF_VERIFIER",  "state": "RANDOM_SESSION_STATE"}

HTTP

code_expires_in: 60 secondsaccess_token_expires_in: 300 secondsrefresh_token_expires_in: 30 daystoken_endpoint_auth_method: noneclient_id_metadata_document_supported: true

GET /oauth/authorizeOAuth usa PKCE S256, URI de redirecionamento exata e recursos separados para REST ou MCP. O consentimento ocorre no Tong. Tokens de atualização são rotacionados a cada uso.POST /oauth/tokenOAuth usa PKCE S256, URI de redirecionamento exata e recursos separados para REST ou MCP. O consentimento ocorre no Tong. Tokens de atualização são rotacionados a cada uso.POST /oauth/revokeOAuth usa PKCE S256, URI de redirecionamento exata e recursos separados para REST ou MCP. O consentimento ocorre no Tong. Tokens de atualização são rotacionados a cada uso.

Permissões#

Ferramentas pagas também exigem credits:spend. Permissões de exclusão são separadas.

Referência de ferramentasExplore todas as ferramentas criativas e seus esquemas de solicitação.Configurar MCPConecte o Tong no cliente MCP, autorize sua conta e descubra as ferramentas criativas permitidas.