Was bedeutet API-Key?
Ein Dienst kann anhand des Schlüssels erkennen, welche Anwendung eine Anfrage sendet, und ihr ein Nutzungskontingent zuordnen. Je nach Anbieter gewährt der Schlüssel auch Zugriff auf geschützte Funktionen.
Wer einen geheimen Schlüssel besitzt, kann ihn möglicherweise missbrauchen. Er gehört deshalb nicht in öffentlich sichtbaren Programmcode oder Protokolle. Die Identität eines einzelnen Menschen weist er nicht automatisch nach.
So sieht das in der Praxis aus
Beispiel: Ein interner Importdienst nutzt einen eingeschränkt berechtigten Schlüssel für den Datenabruf.
Häufige Fragen
Darf ein geheimer API-Key im Browser stehen?
Nein. Besucher können dort verwendete Schlüssel häufig auslesen. Geheime Zugänge sollten auf einem geschützten Server liegen. Ausdrücklich öffentliche Schlüssel sind gesondert zu bewerten.
Was ist bei einem veröffentlichten Schlüssel zu tun?
Den betroffenen Schlüssel sperren oder ersetzen, mögliche Zugriffe prüfen und die undichte Stelle schließen. Das Entfernen aus dem sichtbaren Text allein genügt nicht.
Warum sind getrennte Schlüssel für verschiedene Anwendungen sinnvoll?
Sie erlauben eigene Rechte und Kontingente. Außerdem lässt sich ein einzelner Zugang sperren, ohne alle anderen verbundenen Anwendungen zugleich abzuschalten.