憑證是存在網站上的一組密碼或金鑰。「HTTP 請求」節點用它替呼叫加上身分驗證，Webhook 觸發的「標頭驗證」用它檢查呼叫端帶來的標頭。節點只記得選了哪一個憑證，不會存它的內容。
在哪裡
憑證只有一份清單：設定的「憑證」分頁，網址是 /settings/credentials。有兩個地方可以打開它：
- 使用者選單的齒輪 →「憑證」。
- 工作流頁：上方列的 ⋯（更多）→「憑證」。
清單上有你看得到的憑證：你擁有的憑證、「權限」分頁的清單上直接寫著你的憑證，以及你所在的專案裡，清單上有你的專案角色或「所有專案成員」的憑證。專案擁有者也一樣，清單上沒有他就看不到。Facebook 粉專也一樣，只列出你看得到的；你看得到粉專，就看得到它底下的 Instagram 帳號。「所屬」一欄寫著它是「私人」的，或是屬於哪一個專案。上面一排的第一格是「搜尋」，框裡寫著「搜尋名稱」，後面是「分組」與「所屬」兩個篩選，請看篩選。
Facebook 粉專與 Instagram 帳號不能用「＋ 新增憑證」新增，要用「＋ 連結粉專」連進來，請看連結 Facebook 粉專。
專案憑證與私人憑證
專案憑證屬於一個專案。工作流的節點選憑證時，選單只列出開放給這個工作流的憑證，請看工作流用得到哪些憑證；沒有人看得到它的內容。只有它的擁有者可以刪除它、修改它的「權限」分頁，專案擁有者也不行；「權限」分頁給了「編輯」的人，可以修改它的「基本」分頁，但不能刪除它。你看不到的憑證，用它的網址去修改、刪除或讀「權限」分頁，網站的回答和這個憑證不存在時一樣，都是「找不到」。擁有者一開始是建立它的人；擁有者可以在「編輯憑證」的「權限」分頁，把它交接給任何一個註冊的人，不必是專案的成員，交接以後，改由接手的人修改或刪除它，請看編輯憑證。
新增專案憑證不需要任何角色權限，只要你是那個專案的成員。「新增憑證」的「權限」分頁上，「專案」列出「私人」與你所在的每一個專案，一打開是「私人」，清單一開始有「所有 AI Agent」和「所有工作流」，都是「編輯」。新增的人就是它的擁有者。
私人憑證只屬於你自己，不屬於任何專案。只有你，以及你在它的「權限」分頁加上的人看得到；只有你能刪除它、修改它的「權限」分頁，專案擁有者也不行。它的「權限」分頁可以加上任何人、AI Agent、「所有 AI Agent」、工作流與「所有工作流」，不能加上專案角色，也不能加上「所有專案成員」。新增私人憑證不需要任何角色權限。
工作流用得到哪些憑證
工作流執行時，只用得到開放給它的憑證，也就是「權限」分頁的清單上有這個工作流的憑證，或清單上有「所有工作流」、而這個工作流在它的範圍裡的憑證，不論是「檢視」還是「編輯」。「所有工作流」的範圍：專案的憑證是那個專案的每一個工作流；私人憑證是擁有者現在所在的每一個專案的工作流，以及擁有者自己的私人工作流。開放了就用得到，不論憑證和工作流在哪一個專案，或是私人的：
- 這個工作流的專案的憑證。
- 別的專案的憑證。
- 私人憑證，不論它的擁有者在哪一個專案。
要開放，請憑證的擁有者在「編輯憑證」的「權限」分頁加上這個工作流，或加上「所有工作流」，請看編輯憑證。工作流的擁有者自己能不能用這個憑證、是誰按了「執行」，都沒有關係。
- 節點選的憑證屬於這個工作流的專案，又沒有開放給這個工作流時，這個節點會執行失敗，寫著「憑證「名稱」沒有開放給這個工作流。請憑證的擁有者在憑證的「權限」分頁加上這個工作流。」
- 節點選的私人憑證沒有開放給這個工作流時，這個節點會執行失敗，寫著「節點「…」選的私人憑證沒有開放給這個工作流。請私人憑證的擁有者在憑證的「權限」分頁加上這個工作流。」這一句不會寫出憑證的名稱。
- 節點選的憑證已經被刪掉，或屬於別的專案又沒有開放給這個工作流時，會寫著「節點「…」選的憑證已經不存在，或沒有開放給這個工作流。請重新選一個憑證，或請憑證的擁有者在憑證的「權限」分頁加上這個工作流。」私人工作流沒有專案，所以它選的專案憑證沒有開放給它時，也是寫這一句。這一句不會寫出憑證的名稱。
- Webhook 觸發的「標頭驗證」也是一樣，請看標頭驗證。
- 「Facebook Graph API」與「Instagram」節點選的粉專也一樣。Instagram 帳號看的是它的粉專，沒有開放時，寫出的是粉專的名稱，請看節點類型一覽。
節點的憑證選單列出每一個開放給這個工作流的憑證，依名稱排列，開放給它的別的專案的憑證與私人憑證也在裡面。沒有開放給這個工作流的憑證不會列出來，就算你是它的擁有者也一樣。一個都沒有時，選單下面寫著「還沒有憑證開放給這個工作流。請憑證的擁有者在憑證的「權限」分頁加上它。」看得到這個工作流的人，都看得到節點選了哪一個憑證；要改選，要能編輯這個工作流。
匯入與匯出也只用開放給這個工作流的憑證來對名稱；「建立成新的工作流」和 AI Agent 的「匯入工作流」工具開新的工作流時，只拿你自己的私人憑證中、權限清單有「所有工作流」的來對。
新增憑證
- 打開「憑證」分頁，按清單右上方的「＋ 新增憑證」。
- 在「基本」分頁填「名稱」，選「種類」。
- 填這個種類要的內容：
- 基本驗證：「帳號」與「密碼」。
- Bearer Token：「Token」。
- 標頭驗證：「標頭名稱」與「標頭值」。
- 在「權限」分頁的「專案」選「私人」，或選一個專案。一打開是「私人」，清單有「所有 AI Agent」和「所有工作流」，都是「編輯」；選一個專案，清單就會清空。兩種都可以在這裡把對象加進權限清單；「私人」不能加上專案角色，也不能加上「所有專案成員」。
- 按「儲存」。
「種類」只能在新增時選，之後不能改。存好之後，擁有者可以在「編輯憑證」的「權限」分頁改「專案」，把它移到另一個專案或「私人」，請看編輯憑證。「HTTP 請求」節點的「憑證」可以選這三種。Webhook 觸發的「標頭驗證」只能選「標頭驗證」這一種。清單裡還有郵件與 AI 模型的種類；AI 模型的金鑰怎麼用，請看 AI 點數與金鑰。
存好之後
- 為了安全，存好的內容不會再顯示出來，連建立的人也看不到。要換的時候，按鉛筆圖示打開「編輯憑證」，在「基本」分頁重新填一整組；全部留白就保留原本的內容，不能只填一半。
- 用「＋ 新增憑證」建立的每一個憑證，「用在」一欄寫著有幾個工作流用到它；Facebook 粉專與 Instagram 帳號寫的是「—」。這個數字算的是你所在的每一個專案裡的工作流，你自己的私人憑證也是；別人的私人憑證，以及你不在的專案的憑證，寫的也是「—」，請看清單。改好一個憑證之後，清單會馬上重新讀一次，數字也會跟著更新。
- 鉛筆只有擁有者，以及「權限」分頁給了「編輯」的人看得到；垃圾桶只有擁有者看得到。
刪除憑證
按垃圾桶圖示之後，網站會先列出正在用它的工作流：「這些工作流正在用它，刪掉以後它們下次執行會失敗」。列出的工作流，和「用在」算的一樣；「用在」是「—」時，寫的是「刪掉以後，用到它的工作流下次執行會失敗。」。按紅色的「刪除」就會刪掉。
刪掉之後，用它的工作流下一次執行會失敗。用它做「標頭驗證」的 Webhook，每一次呼叫都會收到 500 錯誤。用它的 AI Agent 會失去它：選它當寄件信箱的，信箱會被清掉；選它當模型金鑰的，那一格回到「Cowork Style 點數」。刪除前的確認只會列出工作流，不會列出 AI Agent。