Wat is een API-key?

Wat is een API-key

Wat is een API-key? Heldere uitleg met veiligheidschecklist | We.Inc

Wat een API-key is, hoe hij verschilt van een wachtwoord of OAuth-token, waar u hem bewaart, hoe u hem beperkt en roteert, en wat u doet op het moment dat er een uitlekt.

Een API-key is een lange geheime tekenreeks die een programma met elk verzoek meestuurt om te bewijzen welk account een dienst aanroept, zoals een betaal-, kaart- of e-mailprovider. Behandel de meeste keys als een wachtwoord: bewaar ze op een server, nooit in websitecode, beperk wat ze kunnen en vervang ze als ze zijn uitgelekt.

API-key, OAuth-token en wachtwoord vergeleken

API-key
OAuth-accesstoken
Wachtwoord

Wie gebruikt het
Uw eigen code of server
Een app die handelt namens een gebruiker die toestemming gaf
Een persoon die inlogt

Hoe u het krijgt
Kopiëren uit het dashboard van de provider
Uitgegeven nadat de gebruiker op Toestaan klikt
Gekozen door de persoon

Gebruikelijke levensduur
Tot u hem roteert of verwijdert
Kort, daarna vernieuwd
Tot het wordt gewijzigd

Bereik
Wat u bij het aanmaken hebt toegestaan
De rechten die de gebruiker heeft verleend
Alles wat het account kan

Hebt u een website of webwinkel, dan komt u API-keys tegen telkens als u een dienst koppelt: betalingen, kaarten, e-mail, een formuliertool of een AI-agent. De meeste zijn geheim, een paar zijn bedoeld om openbaar te zijn, en juist door die te verwarren ontstaan hoge rekeningen en datalekken. Plak een key in de inspector hieronder om te zien op welk soort hij lijkt; die draait volledig in uw browser en verstuurt nergens iets naartoe.

U maakt de key aan in het dashboard van de provider en kopieert hem één keer; veel providers tonen hem daarna nooit meer.
Uw server bewaart hem in een omgevingsvariabele of in de geheime instellingen van de host.
Elk verzoek aan de provider bevat de key, meestal in een Authorization-header.
De provider zoekt de key op, controleert wat hij mag doen, en antwoordt of weigert.

Plak een geheime key nooit in front-endcode, een openbare repository, een supportchat of een e-mail.
Gebruik beperkte keys waar die worden aangeboden. Stripe raadt bijvoorbeeld beperkte keys aan die alleen de rechten hebben die een integratie nodig heeft.
Voeg beperkingen toe, zoals toegestane websites, IP-adressen of specifieke API's, zodat een gestolen key minder waard is.
Verwijder keys die u niet meer gebruikt en roteer de rest volgens een schema, en ook wanneer iemand met toegang vertrekt.
Houd test- en live-keys gescheiden. Veel providers geven ze een herkenbaar voorvoegsel, zoals sk_test_ en sk_live_.

Veelgestelde vragen

Is een API-key hetzelfde als een wachtwoord?

Het zijn allebei geheimen, maar een wachtwoord is voor een persoon die inlogt, terwijl een API-key voor software is die een dienst aanroept. Keys zijn lang en willekeurig, meestal beperkt tot bepaalde acties, en kunnen worden vervangen zonder dat iemands login verandert.

Mag ik een API-key in de JavaScript van mijn website zetten?

Alleen als de provider zegt dat dat type key veilig openbaar kan zijn. De publishable keys van Stripe die met pk_ beginnen, zijn bedoeld voor front-endcode; de secret en restricted keys niet. Alles in de browser kan door elke bezoeker worden gelezen.

Waar bewaar ik API-keys?

In een secrets-kluis of in de instellingen voor omgevingsvariabelen van uw host. Stripe en Google zeggen allebei dat u keys niet in broncode moet zetten of in coderepository's moet committen.

Wat moet ik doen als mijn API-key is uitgelekt?

Trek hem meteen in of roteer hem in het dashboard van de provider, en zet de nieuwe key in uw serverinstellingen. Het advies van GitHub over gedetecteerde secrets is de getroffen inloggegevens direct te roteren; alleen de geschiedenis opschonen maakt een actieve key niet veilig.

API-key of OAuth?

Gebruik een API-key als uw eigen server met een dienst op uw eigen account praat. Gebruik OAuth als uw app namens andere mensen op hun accounts moet handelen, omdat ieder van hen dan zelf toegang verleent en kan intrekken.

Publieke keys en geheime keys

Sommige diensten geven een paar uit. Een publishable key identificeert uw account vanuit de browser maar kan niets gevoeligs doen, terwijl de secret key op uw server kaarten kan belasten of gegevens kan lezen. De documentatie van Stripe noemt alleen de publishable key veilig om openbaar te maken.
Ook een browserkey is het beperken waard. Het advies van Google Cloud is beperkingen aan API-keys toe te voegen, die de manieren waarop een key kan worden gebruikt inperken en zo de schade verkleinen als iemand hem kopieert.

Checklist bij een gelekte key

Roteer of verwijder eerst de key in het dashboard van de provider. Zet daarna de nieuwe key op elke plek waar de oude werd gebruikt. Controleer vervolgens de gebruikslogs van de provider op aanroepen die u niet hebt gedaan. Zoek ten slotte uit hoe hij is uitgelekt, bijvoorbeeld via een gecommit bestand of een front-endbundel, en dicht dat gat.

Een key veilig vanaf een server gebruiken

De key staat in een omgevingsvariabele op de server. De browser roept uw eigen endpoint aan, dat de key toevoegt en de provider aanroept.

.env (nooit gecommit)

Alleen plaatsaanduidingen. Voeg .env toe aan .gitignore zodat het nooit in uw repository terechtkomt.

Een kleine serverroute. Het secret wordt op de server gelezen en nooit naar de browser gestuurd.

API-key-inspector

Plak een key of alleen de eerste paar tekens. De controle draait alleen in uw browser; gebruik toch liever een testkey of een dummywaarde dan een live secret.

Te inspecteren key

Stripe publishable key

Stripe secret key

Stripe restricted key

Notion-token

Webhook-ondertekeningssecret (voorvoegsel whsec_)

Geen bekend voorvoegsel. Behandel hem als geheim, tenzij de provider iets anders zegt.

Bedoeld voor front-endcode, volgens de provider.

Geheim: bewaar hem op een server, nooit in een webpagina.

Key voor test- of sandboxmodus.

Key voor live-modus: echt geld of echte gegevens.

Lengte: {n} tekens

Geschatte willekeurigheid als hij willekeurig is gegenereerd: {n} bits

Lijkt kort voor een secret. Ongeveer {n} bits of meer is een verstandig ruw doel.