Publishable Keys

Bezpieczne dla przeglądarki wywołania API. Bez własnego backendu.

Publishable Key (po_pk_) może znajdować się we frontendzie: ograniczony zakresem, powiązany z originem i limitowany budżetem.

Dla artefaktów Claude, Canvas ChatGPT, Grok oraz każdej własnej aplikacji webowej.

Utworzenie Publishable Key Pierwsze wywołanie API

Własny prefiks po_pk_ Domyślnie powiązane z Origin Możliwe do cofnięcia w dowolnym momencie

Bezpieczne dla przeglądarki wywołania API. Bez własnego backendu.

Własna infrastruktura UE Państwa dane pozostają w Europie.
ISO/IEC 27001 certyfikowane Bezpieczeństwo certyfikowane.
Ponad 24 lata doświadczenia Sprawdzone. Stabilne. Bezpieczne dla przyszłości.

Bezpośrednio z przeglądarki

Od AI-Canvas bezpośrednio do wywołania API

Budują Państwo aplikację PDF-to-Text w Claude Artifacts, ChatGPT Canvas lub Grok. Bez backendu wywołanie API było niemożliwe: CORS blokuje, klucz tajny byłby widoczny w kodzie źródłowym, a otwarty klucz obciążałby Państwa konto. Dokładnie tę lukę zamykają klucze publiczne.

Działa w Claude ArtifactsChatGPT CanvasGrokKażda aplikacja przeglądarkowa

Wklejenie w Claude, ChatGPT lub Grok

Prompt, który zamienia każdą AI-Canvas w prawdziwą demonstrację opartą na API — bez backendu.

AI Canvas Prompt

Przeczytaj ten dokument API:
https://api.paperoffice.ai/latest/docs/llms-full.txt Zbuduj jednoplikową aplikację React (Claude Artifact / ChatGPT Canvas / Grok):
Użytkownik przesyła plik PDF, aplikacja wywołuje
/job/add/paperoffice_aiocr___generate bezpośrednio z przeglądarki
i wyświetla wyekstrahowany tekst. Autoryzacja: Bearer po_pk_MY_PUBLISHABLE_KEY (poproś użytkownika o klucz).
Użyj processing_lane=instant dla wyników synchronicznych. Nagłówek Origin jest ustawiany przez przeglądarkę.

Wybór presetu, utworzenie i wklejenie klucza.

Dashboard dostarcza presetów dla zakresów i budżetu. Origin pozostaje pusty — wprowadź nagłówek Origin z narzędzi deweloperskich przeglądarki, a następnie skopiuj klucz do swojego promptu.

Utworzenie klucza

JavaScript

1const form = new FormData();2form.append("file_1", fileInput.files[0]);3form.append("processing_lane", "instant");4form.append("client_wait", "true");56const response = await fetch("https://api.paperoffice.ai/latest/job/add/paperoffice_aiocr___generate", {7  method: "POST",8  headers: { Authorization: "Bearer po_pk_YOUR_PUBLISHABLE_KEY" },9  body: form,10});11console.log(await response.json());

1curl -X POST "https://api.paperoffice.ai/latest/job/add/paperoffice_aiocr___generate" \2  -H "Authorization: Bearer po_pk_YOUR_PUBLISHABLE_KEY" \3  -H "Origin: https://app.example.com" \4  -F "file_1=@invoice.pdf" \5  -F "processing_lane=instant" \6  -F "client_wait=true"

Pierwsze wywołanie

fetch z przeglądarki, Origin ustawiany przez przeglądarkę

Wywołanie kierowane jest do POST /latest/job/add/{pipeline} — ten sam endpoint co przy użyciu klucza tajnego (Secret Key). Nowością są tylko typ klucza oraz nagłówek Origin, który przeglądarka wysyła automatycznie.

Origin pochodzi od przeglądarki
fetch ustawia nagłówek Origin samodzielnie. Skrypty spoza przeglądarki (cURL, Node) muszą go wysłać wyraźnie — w przeciwnym razie API zwróci błąd 403 ORIGIN_HEADER_REQUIRED.
Wynik inline
Dzięki ustawieniu processing_lane=instant i client_wait=true API utrzymuje połączenie i zwraca wynik bezpośrednio w odpowiedzi.
Wyraźne kody błędów
402 BUDGET_EXHAUSTED, 403 DOMAIN_NOT_ALLOWED, 403 SCOPE_NOT_GRANTED, 429 RATE_LIMIT_EXCEEDED — każda granica zgłasza się własnym kodem.

Uwierzytelnianie i klucze llms-full.txt dla Państwa IDE

Macierz bezpieczeństwa

Sześć kontroli, wszystkie wymuszane po stronie serwera

Ograniczony zakresem, powiązany z originem, limitowany budżetem, odwołalny w dowolnym momencie. Każda kontrola jest egzekwowana po stronie serwera — dlatego klucz może znajdować się w kodzie frontendowym.

Ograniczony zakres

Klucze mają dostęp tylko do tych grup endpointów, które Państwo jawnie udostępnią: ocr:read, llm:generate, translate:text i inne. Wywołania poza zakresem zwracają HTTP 403.
Powiązany z originem

Każde żądanie musi zawierać nagłówek Origin, który pasuje do listy dozwolonych dla klucza (dokładny host lub wildcard subdomeny). Jeśli nie pasuje, API zwraca HTTP 403.
Brak dodatkowego limitu minut

Nie ma osobnego limitu minut wyłącznie dla po_pk_. Obowiązują normalne limity szybkości tokenów konta; zużycie jest limitowane przez budżet lifetime.
Limitowany budżet

Każdy klucz posiada limit budżetu w czasie życia klucza (lifetime). Gdy zostanie on wyczerpany, API zwraca HTTP 402 BUDGET_EXHAUSTED — zużycie kończy się natychmiast, a nie dopiero przy rozliczeniu.
Unieważnienie w dowolnym momencie

Klucze można unieważnić w dowolnym momencie w ustawieniach konta. Unieważniony klucz nie jest już akceptowany przez API.
Trwale zablokowane

HTTP DELETE oraz logowanie do konta, zarządzanie kluczami, OAuth, administracja partnerów, modyfikacje płatności i łamanie haseł pozostają stale zablokowane dla każdego po_pk_. Udokumentowane produkty API — w tym usuwanie POST, webhooks, odczyt rozliczeń i CRM — są dozwolone.

Hierarchia kluczy

Trzy typy kluczy, jasne odpowiedzialności

Klucz Secret Key dla serwera, Klucz Publishable Key dla przeglądarki — plus token użytkownika (User Token) dla dostępu związanego z użytkownikiem, objętego limitami częstotliwości.

Prefiks	Type	Przypadek użycia	Przeglądarka bezpieczna	Domyślny-Zakres
`poai_`	Klucz API	Integracja serwer-serwer, uprawnienia tworzącego konta	Nie	Wszystkie punkty końcowe w ramach planu i uprawnień
`po_ut_`	User Token	Użytkownik, limit warstwowy	Nie	Warstwowy
`po_pk_`	Publishable Key	Przeglądarka / AI-Canvas (Claude, ChatGPT, Grok)	Tak	Lista zakresów

Uwierzytelnianie i klucze

Trzy ustawienia wstępne

Jedno kliknięcie. Jeden klucz. Jeden cel.

Każdy preset jest skonfigurowany pod konkretny przypadek użycia — bezpieczne domyślne ustawienia, starannie dobrane zakresy (scopes), realistyczne budżety. Wszystko można w dowolnym momencie dostosować w panelu.

DEFAULT Bezpieczne odczytywanie

Bezpieczne uprawnienia domyślne do prostych demonstracji i narzędzi wewnętrznych: OCR, LLM, Translate, Documents, Search.

Zakresy uprawnień (scopes)

ocr:readllm:generatetranslate:textdocuments:uploaddocuments:readsearch:query
Start z tym presetem
AIDEMO AI Playground Polecany

Dla Claude Artifacts, ChatGPT Canvas i dem Grok. Wszystko, czego Państwo potrzebują do uruchomienia demo AI na żywo.

Zakresy uprawnień (scopes)

ocr:readllm:generateimage:generatevision:analyzetts:generatestt:transcribetranslate:texthandwriting:readsummary:generatedocuments:uploadsearch:queryutils:lookupdemo:run
Start z tym presetem
WIDGET Publiczna strona internetowa

Dla formularzy kontaktowych, widgetów czatu i przycisków rezerwacji na własnej stronie firmowej.

Zakresy uprawnień (scopes)

knowledge:readwidget:chatwidget:bookingwidget:formswidget:contactwidget:leadwidget:fingerprint
Start z tym presetem

Pierwsze połączenie API

Gotowy na pierwsze wywołanie z przeglądarki?

Utworzenie klucza, otwarcie llms-full.txt, wklejenie promptu — Państwa aplikacja wywołuje API bezpośrednio z Claude, ChatGPT lub Grok.

Utworzenie Publishable Key Otwarcie llms-full.txt

Własny prefiks Bez backendu Odwoływalny w dowolnym momencie

Często zadawane pytania

Wszystko ważne na jednym miejscu

Jakie jest różnica między po_pk_ a poai_?

poai_ (klucz API) służy do integracji serwer-serwer — działa z uprawnieniami konta, które go utworzyło, i nigdy nie powinien być używany w przeglądarce. po_pk_ (Publishable Key) jest przeznaczony dla kodu działającego w przeglądarce: ograniczony zakresem, powiązany z źródłem (origin), z limitem budżetu. Ten sam interfejs API, inny profil bezpieczeństwa.

Dlaczego nie użyć po prostu reverse proxy z własnego backendu?

To jest klasyczna ścieżka — wymaga ona jednak nadal backendu. AI-Artifacts (Claude, ChatGPT, Grok) są zaprojektowane do działania bez własnego backendu. Klucze publiczne (Publishable Keys) umożliwiają to, nie ujawniając Państwa klucza tajnego (Secret Key): granice są egzekwowane po stronie serwera.

Czy to działa w Artifactach Claude, pomimo ich piaskownicy CORS?

Tak. Wywołanie odbywa się bezpośrednio z przeglądarki, nagłówek Origin jest ustawiany automatycznie przez przeglądarkę. PaperOffice nie dostarcza listy dozwolonych dostawców; origin wprowadzasz podczas tworzenia klucza z narzędzi deweloperskich.

Co się stanie, jeśli mój po_pk_ stanie się publicznie widoczny?

Szkoda pozostanie ograniczona: Blokada źródła (Origin Lock) uniemożliwia użycie na obcych domenach, limit budżetu zatrzymuje zużycie, limit szybkości spowalnia automatyczne dostęp. Unieważ klucz w swoim koncie — API przestanie go akceptować.

Czy mogę dodać własną domenę jako dozwolone źródło?

Tak. Przy tworzeniu klucza dodają Państwo każde źródło do listy dozwolonych — jako dokładny host lub jako wildcard dla subdomeny. Preset WIDGET został stworzony właśnie pod to: proszę zarejestrować swoją domenę i osadzić widżety czatu, rezerwacji lub kontaktu bez backendu.

Jak ustawić budżet na klucz?

Podczas tworzenia proszę wybrać limit Lifetime; presety zawierają własne ustawienia domyślne. Po osiągnięciu limitu API zwraca HTTP 402 BUDGET_EXHAUSTED. Wartość można w dowolnym momencie dostosować w ustawieniach konta.

Czy klucz po_pk_ wymaga własnego taryfu?

Nie. Publishable Key to dodatkowa warstwa ochronna wokół Państwa istniejącego konta: ogranicza zakresy, origin i budżet. Który plan pasuje do Państwa konfiguracji, pokazuje przegląd cenowy.

Które endpointy są zablokowane dla po_pk_?

HTTP DELETE oraz logowanie do konta, administracja użytkownikami, zarządzanie kluczami, OAuth, administracja partnerów, Stripe Checkout i łamanie haseł są stale zablokowane. Udokumentowane produkty API są dozwolone, w tym usuwanie POST, webhooks, odczyt rozliczeń, import i CRM. Usuwanie Workspace, opróżnianie kosza na śmieci i zwalnianie Legal Hold pozostają tylko w interfejsie użytkownika (403 UI_ONLY_ENDPOINT).