tikeytaka:verify — 키 생사 실측 검증

코어 CLI: bash "${CLAUDE_PLUGIN_ROOT}/bin/tkt" (이하 tkt)

원칙

1. 등록 전 검증 필수: 죽은 키는 볼트에 들어가면 안 된다. add/scan은 이 절차를 통과한 값만 set-stdin 한다.
2. 무과금 엔드포인트만: 모델 목록 조회, getMe, auth/key 조회 등. 과금 호출이 불가피하면 max_tokens=1 또는 빈 바디로 인증 단계만 확인.
3. 값 미출력: 키는 셸 변수로만 다루고, 비교·보고는 sha256 앞 8자리 지문으로만.
4. argv 미노출: curl은 --config -(stdin)로 URL·헤더를 전달한다. curl -H "Bearer $KEY" 직접 사용 금지.

HTTP 코드 해석 (오판 방지)

⚠️ 흔한 오판 2종: ① 로컬 프록시(teamclaude 등)가 api.anthropic.com을 차단해 000 → 우회 재시도 필수. ② rc 파일에서 값을 추출할 때 $(command …) 참조형이면 리터럴 문자열을 키로 보내게 됨 — 값이 $(로 시작하면 해당 명령을 실행해 실제 값을 얻어 검증한다.

알려진 프로바이더 레시피 (2026-08 실측 검증됨)

np() { env -u HTTP_PROXY -u HTTPS_PROXY curl -s -m 10 --config - "$@"; } 전제. 키는 printf(셸 내장 — 새 프로세스가 아님)로 stdin 설정에만 넣는다. 그래야 ps·셸 히스토리에 안 남는다.

K="$(bash "$TKT" get openai-api-key)"     # 변수로만, 출력 금지
printf 'url = "https://api.openai.com/v1/models"\nheader = "Authorization: Bearer %s"\n' "$K" \
  | np -o /dev/null -w '%{http_code}\n'
unset K

• 헤더로 보낼 수 있는 서비스는 반드시 헤더로 보낸다 — URL 쿼리(?key=)는 프록시·서버 접근 로그에 남는다.
• URL 경로·쿼리에만 받는 서비스(Telegram bot<K>, data.go.kr serviceKey)는 url = "…" 줄을 같은 stdin 설정에 넣어 argv 노출만 막는다. 상대 서버 로그에는 남는다는 점을 감수한다.
• 응답 본문은 출력하지 않는다(-o /dev/null -w '%{http_code}'). 본문이 필요한 Telegram은 jq '.ok, .result.username'처럼 판정 필드만 뽑는다.

미지의 프로바이더 — 공식문서로 레시피 만들기

레시피 표에 없는 서비스는 추측으로 프로브를 만들지 말고:

1. docs-guide 스킬(/docs-guide:docs-guide)로 해당 서비스 공식 API 문서에서 무과금 인증 확인 엔드포인트(모델 목록·계정 조회류)를 확인한다.
2. docs-guide 불가 시 WebSearch → 공식 문서 WebFetch 폴백.
3. 확인된 엔드포인트로 위 원칙(2·3·4)에 맞는 프로브를 구성해 검증한다.
4. 검증에 성공한 레시피는 이 표에 추가할 가치가 있음을 사용자에게 알린다 (플러그인 개선 제안).

전량 검증 모드 ("볼트 키 전부 확인")

tkt list 순회 → 서비스명에서 프로바이더 추정 → 각 레시피 실행 → 표로 보고: 서비스명 / 판정(생존·사망·권한문제·판정불가) / 근거 코드. 사망 키는 재발급 안내 + tkt del 제안. 프록시 URL 항목(*-proxy-url, *-base-url)은 /health + 인증 경로로 검증한다.