Start → Hilfe

401 mit einem Schlüssel, der garantiert stimmt – prüfen Sie das Header-Format

Was Sie sehen

• 401 Unauthorized with a key you just copied
• invalid_api_key / authentication_error
• curl works but the app does not, with the same key
• The key works in one client and not another

Warum das passiert

Manche HTTP-Clients und No-Code-Tools fragen nach einem „Token“ und setzen das Präfix Bearer selbst davor. Wer dort „Bearer sk-...“ einfügt, erzeugt „Bearer Bearer sk-...“.

Beim Kopieren aus einem Chatfenster oder PDF kann ein Zeilenumbruch am Ende oder ein geschütztes Leerzeichen mitkommen. Der String sieht auf dem Bildschirm identisch aus und ist es auf der Leitung nicht.

Einige Gateways akzeptieren stattdessen oder zusätzlich einen x-api-key-Header. Den Schlüssel im falschen Header zu senden ist nicht davon zu unterscheiden, ihn gar nicht zu senden.

Prüfen, ob es daran liegt

Geben Sie genau aus, was Ihr Client sendet, mit sichtbarer Schlüssellänge:

KEY='paste-here'
echo "length: ${#KEY}"
curl -s -o /dev/null -w '%{http_code}\n' \
  'YOUR_BASE_URL/models' -H "Authorization: Bearer $KEY"

Stimmt die Länge nicht mit dem Erwarteten überein, ist das Kopieren das Problem. Ein 200 hier und ein 401 in Ihrer App heißt, die App baut den Header anders – prüfen Sie, was sie sendet, nicht was Sie eingefügt haben.

So beheben Sie es

1. Nur den Schlüssel einfügen, nie das SchemaIn jedes Feld mit der Bezeichnung Token, Key oder Secret gehört nur der Schlüssel. Das Tool fügt Bearer selbst hinzu.
2. Leerzeichen beim Einlesen entfernenTrimmen Sie den Wert, wenn Sie ihn aus einer Umgebungsvariable oder Datei lesen. Ein Zeilenumbruch am Ende aus einem Heredoc oder einer kopierten Zeile ist der klassische Fall.
3. Bestätigen, dass der Schlüssel nicht rotiert wurdeStimmt das Format, listen Sie Ihre Schlüssel in der Konsole auf und prüfen Sie, ob der verwendete noch existiert und aktiviert ist. Ein widerrufener Schlüssel scheitert genauso wie ein fehlerhaft formatierter.

Verwandte Themen

Zuletzt geprüft am 2026-10-01. Geschrieben aus Problemen, die auf einem laufenden OpenAI-kompatiblen Gateway diagnostiziert wurden – nicht von anderen Seiten zusammengetragen.