Авторизация

Ключей два, и они не взаимозаменяемы.

• Ключ API - секретный, передаётся заголовком X-Api-Key. Им авторизуются обращения из вашего кода. Выдаётся в кабинете, раздел «Настройки бота» → вкладка «Для разработчиков». Ключ не привязан к домену и работает откуда угодно - поэтому его нельзя класть в код страницы, которую видит покупатель.
• Ключ виджета (key, он же slug проекта) - публичный, для чата на вашем сайте. Работает только из браузера: запрос без Origin или Referer отклоняется. Он есть у каждого проекта, но программно им ходить нельзя - для этого и нужен ключ API.

Что защищает от чужого использования

• Список разрешённых доменов - для ключа виджета: запрос принимается, только если Origin или Referer входит в список. Настраивается в кабинете; пустой список означает «отовсюду». К ключу API неприменим - там нет ни страницы, ни домена.
• Лимит частоты - 20 запросов в минуту с одного адреса и 120 в минуту на проект.
• Баланс - стоимость каждого ответа списывается с баланса проекта; когда денег не хватает на ответ, приходит ошибка.