Ein API-Schlüssel ist die einfachste Anmeldeinformation, die eine API ausgeben kann: eine lange, zufällige Zeichenkette, die mit einem Konto oder Projekt verknüpft ist und mit jeder Anfrage gesendet wird – üblicherweise in einem Header wie „X-API-Key“, manchmal auch in der Abfragezeichenfolge. Er identifiziert den Anfragenden für Abrechnung, Kontingente und Zugriffskontrolle, hat aber selbst kein Ablaufdatum und keinen eigenen Gültigkeitsbereich, sofern der Server keine zusätzlichen Informationen hinzufügt.
Der Server sucht bei jeder Anfrage den Schlüssel, weist unbekannte Anfragen mit dem Statuscode 401 zurück und wendet das Kontingent und die Berechtigungen des Schlüssels an. Schlüssel werden üblicherweise in einem Dashboard erstellt, können durch die Ausstellung eines neuen Schlüssels vor dessen Widerruf rotiert werden und sind häufig auf bestimmte IP-Bereiche, Referrer oder Endpunkte beschränkt.
Ein Schlüssel in einer Abfragezeichenfolge ist nicht genauso sicher wie einer in einem Header. URLs werden in Serverprotokollen, Proxy-Protokollen und im Browserverlauf gespeichert und können über den Referer-Header offengelegt werden; ein Header ist zwar auch nicht geheim, landet aber bei weitem nicht so vielen Stellen.
Die Cargo Tracking API benötigt einen X-API-Key für ihre Schreibvorgänge – POST /cargo/v1/shipments und die Zustandsautomatenübergänge – während ihre Lesevorgänge offen sind, sodass dieselbe API beide Seiten zeigt.
Diese Seite auf Englisch lesen
Alle Glossarbegriffe · Testtechniken · Alle 39 Mock-REST-APIs
Zuletzt aktualisiert