API Hop

Dokumentation

API Hop-Dokumentation

Sicherheit und Konfiguration

API-Schlüssel erstellen, Berechtigungen verwalten, Schlüssel austauschen und Sicherheitsmaßnahmen anwenden.

Die Grundregeln zum Schutz von API-Schlüsseln lauten: nicht offenlegen, geringstmögliche Berechtigungen verwenden, regelmäßig austauschen und Nutzung nachvollziehbar halten.

Wie verwalte und schütze ich API-Schlüssel?

Empfohlene Vorgehensweisen:

  • Hinterlegen Sie keine API-Schlüssel in öffentlichen Repositories, Frontendseiten, mobilen Paketen oder Screenshots.
  • Lesen Sie API-Schlüssel auf dem Server aus Umgebungsvariablen oder einem Geheimnisverwaltungssystem.
  • Erstellen Sie getrennte API-Schlüssel für Entwicklung, Tests und Produktion.
  • Verwenden Sie eigene Schlüssel für unterschiedliche Dienste oder Anwendungen, um Nachvollziehbarkeit und Trennung zu verbessern.
  • Konfigurieren Sie Modellberechtigungen nach Bedarf und setzen Sie gegebenenfalls Ablaufdaten.
  • Tauschen Sie API-Schlüssel regelmäßig aus; bei Personalwechsel, Dienstabschaltung oder vermuteter Offenlegung sofort.

Bei möglicher Offenlegung eines API-Schlüssels:

  1. Deaktivieren, löschen oder ersetzen Sie den alten Schlüssel sofort.
  2. Erstellen Sie einen neuen Schlüssel und aktualisieren Sie alle abhängigen Dienste.
  3. Prüfen Sie jüngste Nutzung, Guthabenänderungen und ungewöhnliche Ausgaben.
  4. Beschränken Sie Modellberechtigungen und erwägen Sie eine kürzere Gültigkeit.
  5. Prüfen Sie den Offenlegungspfad, etwa Repositories, Protokolle, CI-Konfiguration oder Drittanbieterclients.

Offengelegte API-Schlüssel können unautorisierte Aufrufe und finanzielle Verluste verursachen. Schützen Sie auch Testschlüssel wie Produktionsgeheimnisse.

Kann ich den vollständigen API-Schlüssel nach der Erstellung erneut ansehen?

Nein. Der vollständige Schlüssel wird nur im erfolgreichen Erstellungsablauf angezeigt. Danach zeigt die Konsole nur eine maskierte Vorschau.

Speichern Sie den Schlüssel vor dem Schließen des Dialogs in einer serverseitigen Umgebungsvariablen oder Geheimnisverwaltung. Ein verlorener Schlüssel lässt sich nicht über Nutzer- oder Administrator-APIs wiederherstellen. Erstellen Sie einen Ersatz, aktualisieren Sie den aufrufenden Dienst und löschen Sie dann den alten Schlüssel. Die KI-Integrationsvorlage der Dokumentation verwendet den Platzhalter <API_KEY> und lädt keine früheren Schlüssel.

Wie übermittle ich einen API-Schlüssel?

Senden Sie API-Schlüssel nur in Anfrage-Headern. Wir empfehlen:

http
Authorization: Bearer YOUR_API_KEY

Sie können auch Folgendes verwenden:

http
X-API-Key: YOUR_API_KEY

Platzieren Sie RequestBeam-Zugangsdaten niemals in URL-Abfrageparametern. Namen für Zugangsdaten (apiKey, api_key, apikey, x-api-key und key) lösen normalerweise HTTP 400 aus. Eng begrenzte Ausnahmen für Similarweb-Geschäftsparameter gelten nur für GET-Anfragen: /v1/similarweb/websites/backlinks akzeptiert einen Hostnamen im großgeschriebenen Feld Key; /v1/similarweb/websites/outgoing-traffic, /websites/incoming-referrals und /websites/similar-sites/suggestions akzeptieren einen Hostnamen im kleingeschriebenen Feld key (alle unter /v1/similarweb). Diese Felder bezeichnen eine Zielwebsite, keine API-Zugangsdaten. Hostnamen müssen gültig sein. Duplikate, falsche Großschreibung, zugangsdatenähnliche Werte und zusätzliche Zugangsdatenfelder bleiben gesperrt. Authentifizieren Sie sich immer über einen Anfrage-Header, auch bei Similarweb-Routen. Siehe das Similarweb-Anfragebeispiel.

Andere Geschäftsparameter wie OAuth token, apiKeyId, username oder pagination_token sind von dieser Regel nicht betroffen.