# Decida quais clientes podem acessar seus modelos

> Restrinja quais clientes podem chamar seu AI gateway com regras de acesso por cabeçalho da requisição: permitir/negar por User-Agent ou qualquer cabeçalho, escopos global / grupo / chave, modo allowlist e regex seguro contra ReDoS.

Canônico: https://www.gatellm.io/pt-BR/use-cases/client-admission-control/

Regras de acesso por cabeçalho da requisição que permitem ou negam por User-Agent, origem ou qualquer cabeçalho — com escopo global, em um grupo de chaves ou em uma única chave.

## Do que a comunidade realmente reclama
"Uma chave vazada significa que qualquer um com ela pode queimar nossa cota", "queremos colocar em allowlist os agentes de código de toda a empresa, mas bloquear curl puro e scrapers", "o console do fornecedor tem allowlist de IP, mas nosso tráfego é dinâmico e fica atrás de proxy, então nunca se encaixa".
A aplicação precisa acontecer onde a requisição chega — no gateway — e não em uma configuração do lado do cliente que um desenvolvedor pode simplesmente desligar.

## Como o GateLLM faz isso
O GateLLM avalia regras de admissão em cada requisição contra cabeçalhos HTTP: seis tipos de correspondência (exato / prefixo / regex / existe / ausente / qualquer) e três escopos (global / grupo de chaves / chave), ordenados por sort_order com primeira correspondência vencendo.
Para "somente clientes aprovados" você usa o modo allowlist: defina a ação padrão do grupo como negar e então adicione uma única regra de permissão que corresponda à assinatura do cliente — tudo o mais é rejeitado antes de chegar a um modelo.

## 5 alavancas que realmente funcionam
- 6 tipos de correspondência: exato / prefixo / regex / existe / ausente / qualquer — uma regra pode expressar "A ou B ou C" via alternância de regex
- 3 escopos: global, por grupo de chaves, por chave — com primeira correspondência vencendo e prioridade global na mesma ordem
- Modo allowlist: negar por padrão + uma permissão explícita — novos clientes desconhecidos são rejeitados por padrão
- As regras também cobrem rotas de listagem de modelos (/v1/models), então um cliente negado fica bloqueado de ponta a ponta
- Motor de regex linear seguro contra ReDoS — padrões patológicos são rejeitados no carregamento, não no momento da requisição

## FAQ
### Um cliente pode falsificar X-Forwarded-For para burlar uma regra?
Sim — X-Forwarded-For é falsificável pelo cliente. Ele só é confiável quando um proxy reverso confiável o sobrescreve; caso contrário, um cliente mal-intencionado o preenche arbitrariamente. Para admissão por IP real, prefira o IP de origem que o gateway vê diretamente, configurado com TRUSTED_PROXIES.

### Por que meu cliente recebe 403 mesmo com a chave certa?
As regras de acesso também se aplicam às rotas de listagem de modelos. Um cliente negado pode ser bloqueado já na primeira chamada a /v1/models. Verifique se alguma regra de Header ACL está correspondendo e lembre-se de que, sob negação padrão, um cliente que não corresponde a nenhuma regra de permissão é rejeitado.

### Posso escrever "permitir apenas se o cabeçalho NÃO contiver X"?
Nenhuma regex única consegue expressar isso — o motor não tem lookahead. Orquestre o inverso: defina a ação padrão como negar e então adicione uma regra "permitir se contiver X". Requisições sem correspondência caem na negação padrão.

- [Guia completo: Configurar Header ACL (docs)](https://docs.gatellm.io/en/howto/configure-header-acl)

## Relacionados
- [Início](https://www.gatellm.io/pt-BR/index.md)
- [Preços](https://www.gatellm.io/pt-BR/pricing.md)
- [Calculadora de custos](https://www.gatellm.io/pt-BR/calculator.md)
- [Sobre](https://www.gatellm.io/pt-BR/about.md)
- [Agendar uma demonstração](https://www.gatellm.io/pt-BR/demo.md)
- [FAQ](https://www.gatellm.io/pt-BR/faq.md)
- [Comparar gateways de IA](https://www.gatellm.io/pt-BR/compare.md)
- [Comparar LiteLLM](https://www.gatellm.io/pt-BR/compare/litellm.md)
- [Comparar OpenRouter](https://www.gatellm.io/pt-BR/compare/openrouter.md)
- [Comparar Alibaba Cloud AI Gateway](https://www.gatellm.io/pt-BR/compare/alibaba-cloud.md)
- [Comparar Azure API Management](https://www.gatellm.io/pt-BR/compare/azure-apim.md)
- [Comparar Apigee](https://www.gatellm.io/pt-BR/compare/apigee.md)
- [Comparar Cloudflare AI Gateway](https://www.gatellm.io/pt-BR/compare/cloudflare.md)
- [Comparar Kong AI Gateway](https://www.gatellm.io/pt-BR/compare/kong.md)
- [Comparar Portkey](https://www.gatellm.io/pt-BR/compare/portkey.md)
- [LiteLLM vs Kong AI Gateway](https://www.gatellm.io/pt-BR/compare/litellm-vs-kong.md)
- [LiteLLM vs OpenRouter](https://www.gatellm.io/pt-BR/compare/litellm-vs-openrouter.md)
- [LiteLLM vs Portkey](https://www.gatellm.io/pt-BR/compare/litellm-vs-portkey.md)
- [Casos de uso](https://www.gatellm.io/pt-BR/use-cases.md)
- [Reduzir custo de LLM](https://www.gatellm.io/pt-BR/use-cases/reduce-cost.md)
- [Alta disponibilidade](https://www.gatellm.io/pt-BR/use-cases/high-availability.md)
- [Isolamento multilocatário](https://www.gatellm.io/pt-BR/use-cases/multi-tenant.md)
- [Conformidade e auditoria](https://www.gatellm.io/pt-BR/use-cases/compliance-audit.md)
- [Solução de problemas por sintoma](https://www.gatellm.io/pt-BR/use-cases/troubleshooting.md)
- [Stack de modelos multivendor](https://www.gatellm.io/pt-BR/use-cases/mixed-model-stack.md)
- [IA auto-hospedada dentro do Office](https://www.gatellm.io/pt-BR/use-cases/self-hosted-office-ai.md)
- [Visibilidade e atribuição do uso de tokens](https://www.gatellm.io/pt-BR/use-cases/token-ops.md)
- [Token FinOps: alocação e controle de custos de IA](https://www.gatellm.io/pt-BR/use-cases/token-finops.md)
- [Governança de ferramentas MCP](https://www.gatellm.io/pt-BR/use-cases/mcp-tool-governance.md)
- [Busca na web para todos os modelos](https://www.gatellm.io/pt-BR/use-cases/web-search-grounding.md)
- [Rotação e standby de múltiplas chaves](https://www.gatellm.io/pt-BR/use-cases/multi-key-pooling.md)
- [Aplicar política de uso de modelos](https://www.gatellm.io/pt-BR/use-cases/enforce-model-policy.md)
- [Sem escolha de modelo no cliente](https://www.gatellm.io/pt-BR/use-cases/automatic-model-tiering.md)
- [Um protocolo, qualquer modelo](https://www.gatellm.io/pt-BR/use-cases/one-protocol-any-model.md)
- [Suplemento Office / Microsoft 365](https://www.gatellm.io/pt-BR/office-addin.md)
- [Glossário](https://www.gatellm.io/pt-BR/glossary.md)
- [Catálogo de modelos](https://www.gatellm.io/pt-BR/models.md)
- [Integrações de SDK e frameworks](https://www.gatellm.io/pt-BR/integrations.md)
- [Agentes de código de IA e harnesses](https://www.gatellm.io/pt-BR/coding-agents.md)
- [Segurança e conformidade](https://www.gatellm.io/pt-BR/security.md)