API-Schlüssel
Erfahren Sie, wie Sie API-Schlüssel für Ihre API-Anbindung im Blazelock Dashboard verwalten.
API-Schlüssel sind die Zugangsdaten, mit denen sich Ihre Systeme bei Anfragen an die Blazelock API authentifizieren. Wenn Sie erfahren möchten, wie Sie API-Schlüssel in API-Anfragen einsetzen, finden Sie weitere Informationen unter Authentifizierung in der API-Referenz.
Diese Seite erklärt, wie Sie API-Schlüssel im Blazelock Dashboard anzeigen, erstellen, widerrufen und rotieren.
Zweck von API-Schlüsseln
Jede Anfrage an die Blazelock API muss einen gültigen API-Schlüssel enthalten. In der Praxis bedeutet das, dass Ihr Backend, Ihr Worker oder ein anderes serverseitiges System den Schlüssel sicher speichert und bei jeder Anfrage mitsendet.
Nutzen Sie für das technische Anfrageformat die API-Referenz:
- Authentifizierung erklärt, wie Sie den Schlüssel als Bearer-Token senden
- Einführung in die API-Referenz ist der beste Einstieg für Endpunkte, Schemas und den Ablauf von Anfragen
Aktive API-Schlüssel anzeigen
Öffnen Sie Ihre API-Anbindung im Dashboard und suchen Sie auf der Detailseite nach dem Bereich API-Schlüssel.
In der Tabelle sehen Sie die aktiven Schlüssel dieser Anbindung. Angezeigt werden dabei unter anderem:
- Die Beschreibung, damit Sie erkennen können, wofür der Schlüssel verwendet wird
- Den maskierten Teilschlüssel, damit Sie verschiedene Schlüssel unterscheiden können, ohne den vollständigen Wert erneut anzuzeigen
- Wann der API-Schlüssel zuletzt verwendet wurde, damit Sie erkennen können, welche Schlüssel noch genutzt werden oder möglicherweise bereits inaktiv sind
API-Schlüssel erstellen
Verwenden Sie einen neuen Schlüssel, wenn Sie einen neuen Service anbinden, Umgebungen trennen oder eine Rotation vorbereiten.
Jede API-Anbindung unterstützt maximal 5 aktive API-Schlüssel gleichzeitig. Wenn weniger als 5 aktive Schlüssel vorhanden sind, können Sie über den Header des Bereichs API-Schlüssel einen weiteren erstellen.
Öffnen Sie die Detailseite der API-Anbindung und wechseln Sie zum Bereich API-Schlüssel.
Klicken Sie im Header des Bereichs API-Schlüssel auf Erstellen.
Geben Sie eine Beschreibung ein, wenn Sie den Schlüssel klar benennen möchten.
Die Beschreibung ist grundsätzlich optional. Wir empfehlen jedoch ausdrücklich, eine Beschreibung zu hinterlegen, damit Sie den Schlüssel später leichter wiedererkennen. Eine gute Beschreibung nennt meist das System oder die Umgebung, zum Beispiel Production backend, Staging worker oder Partner import job.
Wenn Sie das Feld leer lassen, erstellt Blazelock automatisch eine Beschreibung auf Basis des aktuellen Zeitstempels.
Bestätigen Sie die Erstellung und kopieren Sie den neuen Schlüssel aus dem Bestätigungsdialog.
Speichern Sie ihn sofort an einem sicheren Ort, zum Beispiel in Ihrem Secret Manager oder in Ihrer Umgebungskonfiguration.
Der vollständige API-Schlüssel wird nur einmal direkt nach der Erstellung angezeigt. Kopieren Sie ihn daher sofort und bewahren Sie ihn sicher auf. Wenn der Schlüssel verloren geht, müssen Sie einen neuen erstellen.
API-Schlüssel widerrufen
Im Dashboard wird ein API-Schlüssel widerrufen, indem Sie ihn löschen. Dadurch wird der Schlüssel sofort ungültig.
Anwendungen oder Deployments, die den widerrufenen Schlüssel weiterhin verwenden, erhalten Authentifizierungsfehler, bis sie auf einen anderen aktiven Schlüssel umgestellt werden.
Öffnen Sie in der Tabelle API-Schlüssel das Aktionsmenü für den Schlüssel, den Sie widerrufen möchten, und klicken Sie auf Löschen.
Prüfen Sie den Dialog sorgfältig.
Der Dialog zeigt die Beschreibung, den maskierten Teilschlüssel und wann der API-Schlüssel zuletzt verwendet wurde, damit Sie sicher bestätigen können, dass Sie den richtigen Schlüssel widerrufen.
Bestätigen Sie die Löschung.
Nach der Bestätigung ist der Schlüssel sofort ungültig und verschwindet aus der Liste der aktiven Schlüssel.
Empfohlener Ablauf für die Rotation
Der empfohlene Ablauf für die Rotation ist einfach:
Erstellen Sie im Dashboard einen neuen API-Schlüssel.
Aktualisieren Sie Ihre Anwendung oder Ihr Deployment so, dass der neue Schlüssel verwendet wird, und prüfen Sie, dass die Anfragen erfolgreich sind.
Löschen Sie den alten Schlüssel, sobald der neue Schlüssel verwendet wird.
Diese Maßnahmen helfen dabei, Rotationen sicherer zu machen:
- Speichern Sie Schlüssel in Umgebungsvariablen oder in einem Secret Manager
- Committen Sie API-Schlüssel niemals in den Quellcode und stellen Sie sie nicht in clientseitigem Code bereit
- Verwenden Sie getrennte Schlüssel für unterschiedliche Umgebungen oder Services