---
title: "Crea una chiave API server"
description: "Genera dal dashboard una chiave segreta sk_live_ per chiamate server-to-server all'API di ThunderPhone, conservala al sicuro e ruotala o revocala quando necessario."
---

Le chiavi API server (`sk_live_...`) autenticano le chiamate server-to-server all'API ThunderPhone. Le chiavi si trovano in **Organizzazione → Chiavi**.

<Warning>
  Le chiavi server sono segreti. Non includerne mai una nel codice lato client: per i
  browser, usa invece le
  [chiavi pubblicabili](/api-reference/publishable-keys) (`pk_live_...`) con restrizioni di dominio.
</Warning>

<Steps>
  <Step title="Apri la scheda Chiavi">
    Vai a **Organizzazione → Chiavi** e fai clic su **Crea chiave**.
  </Step>
  <Step title="Assegna un nome">
    Scegli un nome che indichi dove verrà usata la chiave, ad esempio "Backend
    di produzione". I nomi sono solo etichette; non influiscono sull'accesso.
  </Step>
  <Step title="Crea la chiave">
    Fai clic su **Crea chiave** nella finestra di dialogo. Verrà generato il segreto.
  </Step>
  <Step title="Copiala ora">
    Il segreto completo viene mostrato **una sola volta**. Copialo nel tuo
    gestore di segreti: dopo che avrai chiuso, resterà visibile solo il prefisso.
  </Step>
</Steps>

## Usala

La chiave è associata a questa organizzazione, quindi le richieste non necessitano di un ID organizzazione:
basta l'header Bearer:

```bash
curl https://api.thunderphone.com/v1/agents \
  -H "Authorization: Bearer sk_live_YOUR_API_KEY"
```

Da qui, la [guida rapida API](/it/quickstart) ti porta alla tua prima
chiamata con altre tre richieste.

## Ruota e revoca

Crea una nuova chiave, migra i tuoi servizi, quindi elimina quella vecchia
dalla stessa scheda: l'elenco mostra il prefisso e il nome di ogni chiave, così
puoi distinguerle. Per automatizzare la rotazione, chiama gli
[endpoint delle chiavi API per sviluppatori](/api-reference/developer-api-keys) con un
token di sessione autenticato. Una chiave `sk_live_` non può creare, elencare o revocare
chiavi, quindi una chiave compromessa non può generare la propria sostituta. Lo stesso vale per
membri, inviti, impostazioni di pagamento e altri
[controlli dell'account](/api-reference/introduction#what-api-keys-cant-do).

<Note>
  Le chiavi API server sono credenziali macchina e sono esenti dalla
  politica [**Richiedi passkey**](/it/guides/sso) della tua
  organizzazione: questa impostazione verifica gli accessi umani, non le chiavi
  `sk_live_...`. Per questo motivo, ruotare e revocare tempestivamente le chiavi qui è il tuo
  principale controllo sull'accesso API permanente; se le passkey sono obbligatorie,
  il pannello della Politica di sicurezza mostra quante chiavi attive sono attualmente
  esenti.
</Note>

<Tip>
  Chiedi al copilota nell'app di "creare una chiave API" e ti guiderà
  attraverso questo flusso, evidenziando ogni controllo in tempo reale.
</Tip>

---

## Passaggi successivi

<CardGroup cols={2}>
  <Card title="Guida rapida API" icon="terminal" href="/it/quickstart">
    Agente, numero, webhook, prima chiamata: quattro chiamate REST.
  </Card>
  <Card title="Riferimento sull'autenticazione" icon="lock" href="/api-reference/introduction">
    Come funzionano l'autenticazione Bearer e l'associazione all'organizzazione.
  </Card>
</CardGroup>