Ứng dụng: được liệt kê và cho phép người dùng kết nối

Hai điều dành cho những người xây dựng ứng dụng trên UberLLM. Cả hai đều hoạt động giống như trên OpenRouter, vì vậy một ứng dụng đã thực hiện chúng chỉ cần thay đổi base URL.

1. Được liệt kê. Gửi hai header và ứng dụng của bạn sẽ hiển thị trên uberllm.dev/apps, được xếp hạng theo số lượng token mà nó gửi. Các trang model liệt kê những ứng dụng sử dụng chúng nhiều nhất.
2. Cho phép người dùng kết nối. Gửi người dùng đến UberLLM, họ đồng ý, và ứng dụng của bạn sẽ nhận được một API key trên tài khoản của họ. Họ tự thanh toán cho việc sử dụng của mình; bạn không bao giờ xử lý thông tin thanh toán của họ.

Được xếp hạng trên bảng xếp hạng ứng dụng

Thêm các header này vào yêu cầu của bạn (chat, tin nhắn hoặc media, bất kỳ endpoint nào):

curl https://api.uberllm.dev/v1/chat/completions \
  -H "Authorization: Bearer $UBERLLM_API_KEY" \
  -H "Content-Type: application/json" \
  -H "HTTP-Referer: https://myapp.com" \
  -H "X-Title: My App" \
  -H "X-OpenRouter-Categories: cli-agent" \
  -d '{"model":"deepseek/deepseek-v4-flash","messages":[{"role":"user","content":"Hello"}]}'

Với OpenAI SDK:

import OpenAI from 'openai';

const client = new OpenAI({
  baseURL: 'https://api.uberllm.dev/v1',
  apiKey: process.env.UBERLLM_API_KEY,
  defaultHeaders: {
    'HTTP-Referer': 'https://myapp.com',
    'X-Title': 'My App',
  },
});

Cách tính điểm:

• Chỉ địa chỉ được giữ lại: https://myapp.com/some/page?user=… được lưu trữ dưới dạng https://myapp.com. Các paths, query strings và logins bị loại bỏ. Một liên kết GitHub, GitLab, Codeberg, Bitbucket hoặc Hugging Face giữ lại owner/repo của nó, vì vậy các ứng dụng mã nguồn mở có mục riêng.
• Tên được cắt ngắn còn 60 ký tự. Các ký tự ẩn và ký tự điều khiển bị loại bỏ.
• Tài khoản đầu tiên gửi traffic cho một ứng dụng sẽ đặt tên và danh mục của ứng dụng đó. Traffic từ các tài khoản khác vẫn được tính cho ứng dụng, nhưng không thể đổi tên ứng dụng.
• Các địa chỉ trên máy hoặc mạng của riêng bạn (localhost, 127.0.0.1, private IPs, *.local) không bao giờ được hiển thị công khai.
• Các yêu cầu từ trình duyệt tự động gửi Referer, vì vậy một ứng dụng web vẫn được tính ngay cả khi không có các header. Thêm X-Title để chọn tên của nó.
• Bảng xếp hạng tính các yêu cầu đã được trả lời, theo tokens, trong 24 giờ, 7 ngày hoặc 30 ngày gần nhất. Bảng xếp hạng này làm mới sau mỗi vài phút.

Danh mục: cli-agent, ide-extension, cloud-agent, programming-app, native-app-builder, creative-writing, video-gen, image-gen, audio-gen, writing-assistant, general-chat, personal-agent, legal, roleplay, game. Các danh mục không xác định sẽ bị bỏ qua. Một ứng dụng giữ tối đa 10.

Bảng xếp hạng cũng là một API: GET https://uberllm.dev/api/v1/public/apps?period=day|week|month&category=<slug>.

Kết nối UberLLM (OAuth PKCE)

Ứng dụng của bạn nhận một khóa trên tài khoản của người dùng, được đặt tên theo ứng dụng của bạn. Người dùng có thể đặt giới hạn chi tiêu cho khóa đó khi cho phép, và có thể tắt nó bất cứ lúc nào trên trang khóa của họ.

1. Tạo bộ xác minh và thử thách mã

Bộ xác minh là một chuỗi ngẫu nhiên bạn giữ (43 đến 128 ký tự). Thử thách là SHA-256, base64url-encoded của nó, không có phần đệm.

function base64url(bytes) {
  return btoa(String.fromCharCode(...new Uint8Array(bytes)))
    .replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
}

const codeVerifier = base64url(crypto.getRandomValues(new Uint8Array(32)));
const codeChallenge = base64url(
  await crypto.subtle.digest('SHA-256', new TextEncoder().encode(codeVerifier)),
);
sessionStorage.setItem('uberllm_verifier', codeVerifier);

2. Gửi người dùng đến UberLLM

https://uberllm.dev/auth?callback_url=https://myapp.com/uberllm/callback&code_challenge=<CHALLENGE>&code_challenge_method=S256

Người dùng đăng nhập (hoặc đăng ký), thấy "Ứng dụng của bạn muốn sử dụng tín dụng UberLLM của bạn", và chọn Cho phép hoặc Hủy bỏ. Khi Cho phép, họ được gửi đến:

https://myapp.com/uberllm/callback?code=<CODE>&state=<STATE>

Khi Hủy bỏ, không có gì được gửi đi đâu cả.

3. Đổi mã lấy khóa

const code = new URLSearchParams(location.search).get('code');
const res = await fetch('https://uberllm.dev/api/v1/auth/keys', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({
    code,
    code_verifier: sessionStorage.getItem('uberllm_verifier'),
    code_challenge_method: 'S256',
  }),
});
const { key } = await res.json(); // ull_…  Store it like a password.

curl https://uberllm.dev/api/v1/auth/keys \
  -H "Content-Type: application/json" \
  -d '{"code":"<CODE>","code_verifier":"<VERIFIER>","code_challenge_method":"S256"}'

Phản hồi là {"key": "ull_…", "key_id": "…", "name": "My App"}. Sử dụng khóa làm Authorization: Bearer trên https://api.uberllm.dev/v1. Endpoint trả lời các yêu cầu trình duyệt từ bất kỳ trang web nào (CORS), vì vậy nó hoạt động từ một ứng dụng web.

Một mã chỉ hoạt động một lần. Một code_verifier sai cũng làm mã bị sử dụng hết, vì vậy mã bị lộ không thể bị đoán.

Điểm khác biệt so với OpenRouter

• code_challenge là bắt buộc và chỉ S256 được chấp nhận (OpenRouter cũng chấp nhận plain hoặc không có thử thách). Nếu không có nó, bất kỳ ai nhìn thấy mã trong lịch sử trình duyệt hoặc nhật ký đều có thể lấy khóa.
• workspace_id / required_workspace_id không được sử dụng: một tài khoản UberLLM có một số dư.