API Key 是你调用 Voice Studio 服务端接口（包括实时语音合成 WebSocket 接口）的身份凭证。每一次服务端调用都必须携带 API Key，Voice Studio 依据它确定请求归属的 工作空间 ，并据此做权限校验、并发控制与用量计费。在左侧导航栏点击 系统 > API Key 进入 API Key 管理 页。
页面结构
左侧主区：系统 > API Key
右侧面板：你可以在这里创建 API Key、临时禁用某一把 Key，或永久删除不再使用的 Key。
核心操作
1. 创建 API Key
点击右上角的 创建 API Key 按钮
在弹窗中确认两项：
凭证类型 （必填）——默认 API Key（长效） ，即创建一把不设过期时间的服务端密钥
权限范围 （可选）——默认
tts:*，表示可使用全部语音合成能力。保持默认即可
点击 创建
创建成功后会展示 完整的凭证明文 （形如
sk-0f3c9a1e7b2d4856a1dd7e9f5b3d8a24）。请立刻复制并保存到你的密钥管理系统
这是你唯一一次拿到明文的机会。 关闭弹窗后，页面和任何接口都无法再次查看，丢失后只能删除重建。
2. 在代码中使用 API Key
拿到明文后，在实时语音合成 WebSocket 握手时携带它。服务端调用放在请求头：
Authorization: Bearer sk-0f3c9a1e7b2d4856a1c07e9f5b3d8a24浏览器调用因为无法自定义 WebSocket 请求头，改用 query 参数：
wss://convai-platform.aliyuncs.com/api-ws/v1/inference?token=sk-...完整的协议说明见《实时语音合成 WebSocket API》。
控制台创建的是 长效 API Key ，请只在你自己的服务端使用。不要写进前端代码、移动端包体或公开代码仓库。
3. 禁用与启用
在目标凭证行点击 禁用 ，该凭证立即失去鉴权能力，状态变为 禁用中 ；此时行内操作变为 启用 ，点击即可恢复。
适用场景：临时封停可疑调用、灰度切换期间暂停旧凭证，而不必彻底作废。
4. 删除
在目标凭证行点击 删除 ，二次确认后该凭证 永久作废，不可恢复 。
删除与禁用的区别只有一条：禁用可以再启用，删除不能。当你 怀疑密钥泄露 时应使用删除而非禁用。
禁用与删除都是 即时生效 的：平台在变更状态的同时会清除鉴权缓存，不存在「已停用但还能再调一会儿」的窗口。
5. 轮转 API Key
长效 API Key 建议定期轮转。推荐顺序：
创建一把新的 API Key
在业务侧灰度切换到新 Key，观察调用正常
禁用旧 Key，继续观察一段时间 —— 如果有遗漏的调用方，此时会报鉴权失败，你可以立即启用回滚
确认无异常后再 删除 旧 Key
第 3 步的「先禁用再观察」是关键。直接删除的话，一旦发现有调用方漏改就无法回滚了。
关键限制
明文不可找回 ：凭证明文为
sk-+ 32 位小写十六进制，共 35 个字符 。平台只存 SHA-256 哈希，明文仅创建时返回一次，丢失后只能删除重建。四种状态与流转规则 ：{#凭证状态}
状态
含义
能否鉴权通过
生效中
正常可用
可以
禁用中
你主动禁用，可随时恢复
不可以
已过期
到达过期时间，由系统自动置位
不可以
已删除
你主动删除，不可逆
不可以
生效中 ⇄ 禁用中 可互相切换
生效中 / 禁用中 → 已删除 单向，不可恢复
已过期由系统定时置位，不接受人为设置
控制台创建的是长效凭证 ：过期时间显示为 长期有效 ，不会自动失效。因此必须由你主动管理生命周期 —— 不再使用的 Key 请及时删除。
权限范围不是授权边界 ：
tts:*是唯一的对外取值。填写其它值 不会 缩小这把 Key 的权限，请不要试图用它做权限隔离。要控制影响面，请按应用拆分成多把 Key。凭证绑定工作空间 ：每把 Key 在创建时绑定当前 工作空间 ，之后不可更换。用 A 工作空间的 Key 访问 B 工作空间的资源会被拒绝。因此建议按工作空间、按应用分别创建，而不是全公司共用一把。
凭证是计费归属依据 ：某把 Key 产生的用量会计入它所属的工作空间。按应用拆分 Key，也就同时拆分了用量口径。
列表没有「名称」「备注」字段 ：请通过 ID 与 创建时间 区分不同的 Key，并在你自己的密钥管理系统中记录每把 Key 的用途。
与百炼 API Key 互不通用 ：虽然实时语音合成的协议与阿里云百炼（DashScope）兼容，但携带百炼原生 Key 访问 Voice Studio 会返回 401 。两个产品的凭证体系独立。
常见问题
我忘记保存明文了，能再看一次吗？ 不能。平台不存明文，请删除该凭证后重新创建。
列表里的
sk-f69eb****能直接拿去调用吗？ 不能，那只是用于识别的掩码前缀，不是完整明文。禁用后多久生效？ 立即生效。平台在改状态时同步清除鉴权缓存。
禁用和删除该用哪个？ 想以后还能恢复就用禁用；确认这把 Key 不再需要、或怀疑已泄露就用删除。
删除后能恢复吗？ 不能，删除不可逆。请先禁用观察，确认无影响后再删除。
「权限范围」我可以改成别的值吗？ 请保持默认
tts:*。改成其它值不会缩小权限，只会给你自己造成误解。一个工作空间可以创建多少把 Key？ 没有硬性数量限制，但建议按应用维度拆分，并及时删除不再使用的。
能用百炼的 API Key 调 Voice Studio 吗？ 不能，会返回 401。
握手时报 401 / 4401 / 4403 分别是什么？ 401 是握手阶段凭证不合法（随后连接以关闭码 1006 断开）；4401 是连接建立后凭证失效；4403 是凭证有效但无权访问目标资源（通常是工作空间不匹配）。