Was ein API-Key ist, wie er sich von einem Passwort oder OAuth-Token unterscheidet, wo du ihn aufbewahrst, wie du ihn einschränkst und rotierst und was du tust, sobald einer geleakt ist.
Ein API-Key ist eine lange geheime Zeichenfolge, die ein Programm bei jeder Anfrage mitsendet, um zu belegen, welches Konto einen Dienst aufruft, etwa einen Zahlungs-, Karten- oder E-Mail-Anbieter. Behandle die meisten Keys wie ein Passwort: Bewahre sie auf einem Server auf, nie im Website-Code, beschränke, was sie dürfen, und ersetze sie, wenn sie offengelegt wurden.
API-Key, OAuth-Token und Passwort im Vergleich
Wenn du eine Website oder einen Shop betreibst, begegnen dir API-Keys immer dann, wenn du einen Dienst anbindest: Zahlungen, Karten, E-Mail, ein Formular-Tool oder einen KI-Agenten. Die meisten sind geheim, einige sind bewusst öffentlich, und wer sie verwechselt, riskiert Rechnungen und Datenlecks. Füge einen Key in den Inspektor unten ein, um zu sehen, wonach er aussieht; er läuft komplett in deinem Browser und sendet nichts irgendwohin.
Beides sind Geheimnisse, aber ein Passwort ist für eine Person, die sich anmeldet, während ein API-Key für Software ist, die einen Dienst aufruft. Keys sind lang und zufällig, meist auf bestimmte Aktionen beschränkt und lassen sich ersetzen, ohne dass sich jemandes Login ändert.
Nur wenn der Anbieter sagt, dass dieser Key-Typ offengelegt werden darf. Die Publishable Keys von Stripe, die mit pk_ beginnen, sind für Frontend-Code gedacht; die Secret Keys und eingeschränkten Keys nicht. Alles im Browser kann jeder Besucher lesen.
In einem Secrets-Tresor oder in den Einstellungen für Umgebungsvariablen deines Hosts. Stripe und Google sagen beide, dass Keys nicht in den Quellcode gehören und nicht in Code-Repositories committet werden sollten.
Widerrufe oder rotiere ihn sofort im Dashboard des Anbieters und trag dann den neuen Key in deine Server-Einstellungen ein. GitHubs Empfehlung bei erkannten Secrets lautet, die betroffenen Zugangsdaten sofort zu rotieren; nur die History zu bereinigen, macht einen aktiven Key nicht sicher.
Nutze einen API-Key, wenn dein eigener Server mit einem Dienst in deinem eigenen Konto spricht. Nutze OAuth, wenn deine App für andere Menschen in deren Konten handeln muss, denn dann erteilt jeder von ihnen den Zugriff selbst und kann ihn auch selbst widerrufen.
Der Key liegt in einer Umgebungsvariable auf dem Server. Der Browser ruft deinen eigenen Endpoint auf, der den Key ergänzt und den Anbieter aufruft.
Nur Platzhalterwerte. Füge .env zur .gitignore hinzu, damit sie nie in dein Repository gelangt.
Eine winzige Server-Route. Das Secret wird auf dem Server gelesen und nie an den Browser gesendet.
Füge einen Key oder nur seine ersten Zeichen ein. Die Prüfung läuft nur in deinem Browser; nimm trotzdem lieber einen Test-Key oder einen Dummy-Wert statt eines Live-Secrets.
Zu prüfender Key
Stripe Publishable Key
Stripe Secret Key
Stripe Restricted Key
Notion-Token
Webhook-Signing-Secret (Präfix whsec_)
Kein bekanntes Präfix. Behandle ihn als geheim, sofern der Anbieter nichts anderes sagt.
Laut Anbieter für Frontend-Code gedacht.
Geheim: Bewahre ihn auf einem Server auf, nie in einer Webseite.
Key im Test- oder Sandbox-Modus.
Key im Live-Modus: echtes Geld oder echte Daten.
Länge: {n} Zeichen
Ungefähre Zufälligkeit, falls zufällig erzeugt: {n} Bit
Wirkt kurz für ein Secret. Etwa {n} Bit oder mehr sind ein sinnvoller grober Richtwert.
Füge etwas zum Prüfen ein.
Kostenlos starten · Keine Kreditkarte nötig