Wie funktionieren API-Schlüssel?

API-Schlüssel sind Ihre Authentifizierungsdaten, um auf die Cathopic-API zuzugreifen. Zu verstehen, wie sie funktionieren, ist entscheidend für eine sichere und effektive API-Integration.

Was ist ein API-Schlüssel?

Ein API-Schlüssel ist ein eindeutiges, geheimes Token, das Ihre Anwendung identifiziert und sie zur Nutzung der Cathopic-API berechtigt:

• Eine lange alphanumerische Zeichenkette (z. B. sk_live_abc123xyz789...)

• Funktioniert sowohl als Authentifizierung als auch als Autorisierung

• Ist mit Ihrem Cathopic-Konto und Ihrer Abrechnung verknüpft

• Kann aktiv oder inaktiv sein

Lebenszyklus des Schlüssels

Erstellung:

1. Erstellen Sie Schlüssel in Einstellungen → API

2. Geben Sie jedem Schlüssel einen aussagekräftigen Namen ("Production Website", "Staging", "Mobile App")

3. Kopieren Sie den vollständigen Schlüssel sofort – er wird nur einmal angezeigt

4. Speichern Sie ihn sicher (Umgebungsvariablen, Secrets-Manager, Passwort-Manager)

Verwendung:

• Fügen Sie ihn in den x-api-key-HTTP-Header bei jeder Anfrage ein

• Schlüssel werden bei jeder Anfrage serverseitig validiert

• Alle API-Nutzung wird erfasst und Ihrem Konto in Rechnung gestellt

Deaktivierung:

• Schlüssel können vorübergehend deaktiviert werden, ohne gelöscht zu werden

• Nützlich für die Fehlersuche oder um eine bestimmte Integration zu pausieren

• Kann jederzeit wieder aktiviert werden

Löschung:

• Entfernt den Schlüssel dauerhaft

• Kann nicht rückgängig gemacht oder wiederhergestellt werden

• Alle Anfragen mit diesem Schlüssel schlagen sofort fehl

Richtlinien zur Verwaltung von Schlüsseln

Sicherheit:

• Schlüssel niemals in die Versionsverwaltung einchecken: Verwenden Sie .env-Dateien und fügen Sie sie zu .gitignore hinzu

• Niemals in Client-seitigem Code offenlegen: API-Schlüssel sollten nur serverseitig verwendet werden

• Umgebungsvariablen verwenden: Speichern Sie Schlüssel in process.env.CATHOPIC_API_KEY oder einer entsprechenden Variable

• Regelmäßig rotieren: Ändern Sie Schlüssel in regelmäßigen Abständen (quartalsweise oder nach Änderungen im Team)

• Separate Schlüssel pro Umgebung verwenden: Verwenden Sie unterschiedliche Schlüssel für Entwicklung, Staging und Produktion

Organisation:

• Aussagekräftige Namen: Benennen Sie Schlüssel nach Zweck: "Production Website", "iOS App", "Email System"

• Dokumentieren der Zuständigkeit: Verfolgen Sie, welches Teammitglied jeden Schlüssel erstellt hat

• Regelmäßige Audits: Überprüfen Sie aktive Schlüssel monatlich und entfernen Sie nicht verwendete

Mehrere API-Schlüssel

Sie können mehrere API-Schlüssel für unterschiedliche Zwecke erstellen:

• Pro Umgebung: Separate Schlüssel für Entwicklung, Staging und Produktion

• Pro Anwendung: Unterschiedliche Schlüssel für Website, Mobile App, interne Tools

• Pro Teammitglied: Individuelle Schlüssel für Entwickler (einfacher zu verfolgen und zu widerrufen)

Alle Schlüssel unter Ihrem Konto teilen sich dieselbe Abrechnung. Die Nutzung aus allen Schlüsseln wird in Ihrer monatlichen Rechnung zusammengefasst.

Nutzung von Schlüsseln überwachen

Beobachten Sie die Aktivität für jeden Schlüssel:

1. Gehen Sie zu Einstellungen → API

2. Sehen Sie sich die Liste aller Schlüssel mit den letzten Verwendungsdaten an

3. Klicken Sie auf einen Schlüssel, um detaillierte Nutzungsstatistiken zu sehen

4. Überwachen Sie unerwartete Aktivitäten

Was tun, wenn ein Schlüssel kompromittiert wurde?

Wenn Sie glauben, dass ein API-Schlüssel offengelegt wurde:

1. Löschen oder deaktivieren Sie den Schlüssel sofort in Einstellungen → API

2. Erstellen Sie einen neuen Ersatzschlüssel

3. Aktualisieren Sie Ihre Anwendung mit dem neuen Schlüssel

4. Prüfen Sie die Nutzungsprotokolle auf verdächtige Aktivitäten

5. Kontaktieren Sie den Support, wenn Sie eine nicht autorisierte Nutzung feststellen

Beispiel: Schlüssel sicher speichern

Node.js mit Umgebungsvariablen:

// .env-Datei (zu .gitignore hinzufügen!)
CATHOPIC_API_KEY=sk_live_abc123xyz789...
// Ihr Code
require('dotenv').config();
const apiKey = process.env.CATHOPIC_API_KEY;
fetch('https://api.cathopic.com/resources', {
  method: 'POST',
  headers: {
    'x-api-key': apiKey,
    'Content-Type': 'application/json'
  },
  body: JSON.stringify({ query: 'Jesus' })
});

Python mit Umgebungsvariablen:

import os
import requests
api_key = os.environ.get('CATHOPIC_API_KEY')
response = requests.post(
    'https://api.cathopic.com/resources',
    headers={'x-api-key': api_key},
    json={'query': 'Jesus'}
)