Sicherheit von API-Schlüsseln
2026-10-23T17:21:49+08:00API-Schlüssel vorbereiten
Öffnen Sie Settings im Profilmenü und API Key im persönlichen Bereich. Pro Konto gilt ein aktiver Schlüssel. Neuerzeugung macht den alten sofort ungültig; der vollständige Wert erscheint einmal. Senden Sie X-API-Key und bei POST Content-Type: application/json. Website-JWT, Cookie, Device-ID, hash und platform sind nicht nötig. Bearer ersetzt den Header nicht.
API-Schlüssel schützen
Schlüssel nur serverseitig in Umgebungsvariablen oder Secret-Manager speichern, nie in Frontend, öffentlichen Repositories oder Clients. Nicht in URL, Body, Logs oder Tickets. Beispiele nutzen API_KEY. Bei Offenlegung sofort ersetzen oder deaktivieren und alle Aufrufer aktualisieren.
Fehler und Wiederholungen
400: Parameter korrigieren; 401/403: Schlüssel/Konto prüfen; 409: Konflikt lösen; 429: verzögert wiederholen. Abfragen innerhalb Quote wiederholbar. Keine veröffentlichte Idempotenz für Schreibanfragen: nach Timeout/500 Annahme zuerst prüfen. Fehlende Apps, falsche Versionen oder Übermittlungsfehler können ebenfalls 500 / PUBLIC_API_INTERNAL_ERROR erzeugen; kein Beweis für Nichtausführung.
Validierung und Support
Support benötigt request_id, Pfad, HTTP-Status, reason, Zeitpunkt und bereinigte Parameter, nie den Schlüssel. Erst Lesezugriffe testen, dann autorisierte Testgeräte für Schreibvorgänge verwenden und Ergebnisse vor größeren Batches prüfen.
Verwandte Artikel
Cookie-Hinweis