API 金鑰是一串以 knr_pat_ 開頭的專屬密碼，代表「您本人，但只能做您勾選的事、只能碰您指定的網站」。把金鑰設定進 AI 工具或自動化程式後，它們就能在背景替您列出網站、修改頁面、上傳圖片、發布或綁定網域，不需要打開瀏覽器登入。
管理位置在「帳號設定 › API 存取」。
使用 ChatGPT、Claude、Gemini、Zapier、Make 時不需要建金鑰： 這類工具內建「連接器」，只要貼上 MCP 伺服器網址
https://app.kanorio.com/api/mcp並在 Kanorio 授權頁按「允許」即可（詳見）。即使您在建立金鑰時選到這些工具，畫面也會直接提供伺服器網址，不會多建一把金鑰。
登入後台，點選右上角頭像進入「帳號設定」→「API 存取」（或直接前往 app.kanorio.com/account/api-access），點選右上角的「建立金鑰」。
點選您要使用的工具圖示：
系統會預設填入「{工具名稱} 建站助理」，您可以自由修改。名稱只有您自己看得到，建議遵循「一個工具、一個用途一把金鑰」的原則命名，例如「Cursor 改品牌官網」「n8n 每天同步庫存」。日後某個工具停用或同仁交接時，一眼就能看出該撤銷哪一把。
您可以直接從三個預設方案挑一個，不必逐項研究底層權限：
| 權限方案 | 能做的事 | 適合情境 |
|---|---|---|
| 只能查看 | 讀取網站設定、頁面、部落格文章、、線上表單回覆、顧客名單、分眾、商品、訂單與分析，不能修改任何內容 | 讓 AI 幫您整理營運報表、檢查網站結構，或供 的 ?preview=1 草稿預覽使用 |
| 編輯內容（預設） | 包含「只能查看」，加上新增與修改頁面模組草稿、頁首頁尾、上傳與管理圖片、撰寫部落格文章；不能發布或下線網站（若要讓 AI 建立與寫入資料集合，請點「自訂」加勾「內容 › 管理資料集合」或改選「完整管理」） | 日常讓 AI 幫忙改頁面、換圖、寫文章，由您預覽後再手動發布 |
| 完整管理 | 開放所有可授予 AI／API 的權限，包含發布與下線網站、綁定自訂網域、建立與管理、設定 CORS 允許來源、新增與修改商品、管理顧客標籤、建立電子報草稿 | 全自動建站到上線、AI 建立資料庫，或自建後台與 ERP 系統整合 |
若想微調細項，可點選「自訂」展開 6 大權限分組（頁面瀏覽、網站設定、內容、電商、顧客、行銷），每組皆可點選「全選這組」。當您勾選寫入類權限（例如「編輯網站內容」）時，系統會自動勾起必要的讀取權限（如「進入主控台」與「進入網站編輯器」）並標示「已自動包含」，避免漏勾導致工具無法運作。
安全限制提醒：
- 即使勾選了「行銷」的寄送權限或「完整管理」，AI 與 API 只能建立與修改電子報草稿，無法直接寄出或排程電子報（寄出前必須由您在後台確認）。
- 匯出網站／訂單／顧客／行銷／分析資料、下載表單附件、訂單退款、刪除聯絡人、修改網站幣別、管理成員、處理帳務與網站轉移等高風險權限，一律不開放勾選。
可選擇 7 天、30 天、90 天（預設）或 365 天，選項旁會直接顯示到期日期（基於資安考量，不提供永久有效的金鑰）：
建立 API 金鑰等同於將帳號權限交給外部程式。若您在這台裝置登入已超過 15 分鐘，送出時系統會要求再次確認是您本人：
金鑰明文（knr_pat_...）只會在建立完成的這個畫面顯示一次。除了金鑰本身，畫面下方會依您剛才選的工具，直接準備好一段已填入這把金鑰與伺服器網址的設定：
.cursor/mcp.json 的完整 JSONclaude mcp add 指令.vscode/mcp.json 的完整 JSONAuthorization: Bearer Header點選「複製設定」貼進工具即可，不必自己手動拼湊。若還沒複製就按關閉，系統會跳出確認視窗提醒您；關閉視窗後列表只會保留前 8 碼供辨識，若忘記金鑰內容請直接執行「輪替」。
一把金鑰在某個網站的實際權限，取決於「金鑰勾選的權限」與「您本人在該網站的成員角色」的交集：
$$\text{實際權限} = \text{金鑰勾選的權限} \cap \text{您在該網站的成員角色權限}$$
在「帳號設定 › API 存取」列表中，每把金鑰都會顯示：
工具：{client}）：系統會自動記錄最後一次拿這把金鑰連線的程式名稱（例如 cursor-vscode、claude-code 或 kanorio-cli）。如果您當初是建給 Cursor 使用，列表卻顯示陌生的工具名稱，代表金鑰可能被貼到其他地方，建議立即輪替或撤銷。每個 Kanorio 帳號最多可同時擁有 20 把有效金鑰（正在輪替緩衝期內的舊金鑰不占名額）。
點選金鑰右側「更多（⋯）」選單的「編輯」，可以修改名稱、可操作的網站與權限方案（有效期限無法直接修改，要延長效期請使用「輪替」）：
當您收到金鑰即將到期的提醒信、想定期更換密碼，或懷疑金鑰可能外洩時，不需要先刪掉舊金鑰再重填整張表單 - 請點選金鑰右側「更多（⋯）」選單的「輪替」：
在 1 小時或 24 小時的緩衝期內，列表會同時顯示新舊兩把金鑰，舊金鑰旁會標示「{時間}後失效」（緩衝中的舊金鑰只能執行「撤銷」，且不會再寄發到期提醒）。緩衝期一過，舊金鑰就會自動失效。
已過期的金鑰：若金鑰已經過期，選單會顯示為「重新產生」 - 同樣一鍵沿用原本的名稱、網站與權限發出新金鑰（因為舊金鑰已失效，不會有緩衝期選項）。
在金鑰右側「更多（⋯）」選單點選「撤銷」並確認後，該把金鑰會立即永久失效，正在使用它的 AI 助理或程式下一個請求就會收到 401 UNAUTHORIZED 錯誤（撤銷前已寫入的網站草稿會保留）。
.cursor/mcp.json（並確認已加入 .gitignore）。knr_pat_ 金鑰貼在聊天訊息裡，請勿照做。不行，最長有效期限為 365 天。定期更換金鑰能大幅降低憑證長期外流的風險。到期前 7 天與前 1 天系統都會寄信提醒您，只要點選「輪替」就能在幾秒內沿用原設定換發新金鑰。
不行。每把 API 金鑰都綁定建立者本人的帳號與操作稽核紀錄。若團隊成員需要使用 Cursor 或自動化工具，請該成員登入自己的 Kanorio 帳號建立金鑰，金鑰權限也會自動受限於該成員在網站的角色。
因為這些動作等同於發出或擴大一把能代表您操作網站的長期通行證。為了防止他人趁您的電腦未鎖定、或透過舊的登入狀態偷偷建立金鑰，只要距離上次登入超過 15 分鐘，系統就會要求驗證 2FA／Passkey 或重新登入。相對地，「縮小權限」「修改名稱」與「撤銷金鑰」屬於安全收斂動作，隨時點選都會立即生效，不會要求驗證。
提醒信會寄到您 Kanorio 帳號的登入信箱，並同步顯示在後台右上角的收件匣通知。請先檢查垃圾郵件匣；另外，若該金鑰已經過期、已撤銷、已被輪替為舊金鑰，或建立時選擇的是 7 天效期（僅會在到期前 1 天提醒，不會寄前 7 天那封），系統就不會寄發該階段提醒。