| Codice | Quando accade | Cosa fare | | --- | --- | --- | | **401** `INVALID_CREDENTIALS` | La chiave non esiste, è copiata male, oppure **è revocata** — il messaggio è lo stesso generico («Invalid API key») in tutti e tre i casi, per non dare indizi a chi cerca di indovinare le chiavi. | Verifica di aver copiato la chiave completa e senza spazi. Se l'hai revocata tu stesso, crea una nuova chiave (paragrafo 4/5). | | **401** `TOKEN_EXPIRED` | La chiave ha superato la sua data di scadenza (paragrafo 8). | Crea una nuova chiave; se ti serve che non scada, scegli «Mai» al momento della creazione. | | **401** `INVALID_CREDENTIALS` («Origin not allowed») | La chiave ha origini limitate (paragrafo 6) e la richiesta arriva da un browser su un dominio che non è nell'elenco. | Aggiungi quel dominio all'elenco delle origini consentite della chiave, oppure usa una chiave senza restrizioni per le chiamate server-server. | | **403** `PERMISSION_DENIED` | La chiave tenta un'azione che il suo ruolo sigillato non copre — per esempio, una chiave personale di un ruolo editor o viewer che chiama una rotta esclusiva di admin, oppure che chiede di creare/elencare chiavi **dell'azienda** senza essere admin («Only admins can create/list tenant-owned API keys»). | Usa una chiave con permessi sufficienti (una chiave d'azienda, o una personale di un admin) per quella azione specifica. | | **429** `RATE_LIMIT_EXCEEDED` | È stata superata la quota della chiave (120 richieste/minuto per impostazione predefinita, paragrafo 11) o qualche altra quota applicabile alla richiesta. | Attendi il minuto successivo e riduci la frequenza delle chiamate; se la tua integrazione ha bisogno di più quota in modo continuativo, contatta il tuo fornitore. |