Jetzt starten
Zum Inhalt
API

Authentifizierung

API-Schlüssel erstellen, sicher verwenden und deaktivieren. Programmatische Anfragen werden über den Header X-API-Key authentifiziert.

API-Schlüssel erstellen

  1. Bestätigen Sie Ihre Konto-E-Mail und melden Sie sich in der Konsole an.
  2. Öffnen Sie den Bereich API-Key.
  3. Vergeben Sie einen eindeutigen Namen, beispielsweise CRM-Import, und erstellen Sie den Schlüssel.
  4. Kopieren Sie den vollständigen Schlüssel und speichern Sie ihn in der geschützten Konfiguration Ihrer Anwendung.

Der vollständige Schlüssel wird nur bei der Erstellung angezeigt. Die spätere Übersicht zeigt Metadaten wie Name und letzte Verwendung. Ein vergessener Schlüssel lässt sich nicht erneut anzeigen; erstellen Sie in diesem Fall einen neuen.

Die Basis-URL für API-Schlüssel lautet https://api.krake.run/api/v1/. Auf https://console.krake.run funktionieren API-Schlüssel nicht; dieser Host ist für die Konsole und ihre Browsersitzung vorgesehen. Senden Sie den Schlüssel bei jedem authentifizierten Aufruf im Header X-API-Key. Die Beispiele verwenden die Umgebungsvariable KRAKE_API_KEY.

# Schlüssel für die aktuelle Bash-Sitzung verdeckt einlesen
read -r -s -p "Krake API-Key: " KRAKE_API_KEY
export KRAKE_API_KEY
printf '\n'

curl --fail-with-body "https://api.krake.run/api/v1/wallet/" \
  -H "X-API-Key: $KRAKE_API_KEY"

Ein erfolgreicher Aufruf liefert das Guthaben und den Erstellungszeitpunkt des Guthabenkontos. Nutzen Sie für API-Schlüssel keinen Authorization: Bearer-Header. Halten Sie die abschließenden Schrägstriche der dokumentierten Pfade ein.

Zugriff und sichere Verwendung

Ein API-Schlüssel handelt im Namen Ihres Kontos und kann kostenpflichtige Aufträge erstellen sowie Ihre Aufträge und Ergebnisse lesen. Es gibt in der aktuellen Schlüsselverwaltung keine auswählbaren Leserechte oder produktbezogenen Berechtigungen.

  • Verwenden Sie den Schlüssel auf Ihrem Server oder in einer geschützten Automatisierungsumgebung.
  • Speichern Sie ihn nicht in öffentlich ausgeliefertem JavaScript, Versionsverwaltung oder geteilten Beispieldateien.
  • Lassen Sie Authentifizierungsheader aus Protokollen und Supportanhängen heraus.
  • Verwenden Sie getrennte Schlüssel pro Integration, damit Sie diese unabhängig deaktivieren können.

Konsole und Sitzungsanmeldung

Die Konsole verwendet eine angemeldete Browsersitzung. Schreibende Anfragen mit Sitzungsanmeldung benötigen den CSRF-Schutz der Plattform. API-Anfragen mit einem Schlüssel sind für Ihre Integration gedacht und benötigen keine zusätzliche Browsersitzung.

Das Erstellen, Auflisten und Deaktivieren von API-Schlüsseln ist nur über eine angemeldete Sitzung erlaubt. Dasselbe gilt für besonders sensible Kontoaktionen wie Passwortänderung, E-Mail-Änderung und Kontolöschung. Ein API-Schlüssel ersetzt diese Anmeldung nicht.

Schlüssel wechseln oder deaktivieren

  1. Erstellen Sie einen neuen Schlüssel und übernehmen Sie ihn in Ihre Anwendung.
  2. Prüfen Sie einen Lesezugriff, etwa auf /api/v1/wallet/.
  3. Deaktivieren Sie den alten Schlüssel im Bereich API-Key.

Deaktivierte Schlüssel werden für neue Anfragen zurückgewiesen. Bei einem vermuteten Verlust deaktivieren Sie den betroffenen Schlüssel direkt und ersetzen ihn in allen betroffenen Integrationen.

Anmeldung wird zurückgewiesen

Prüfen Sie den vollständigen Header, den aktiven Zustand des Schlüssels und die Bestätigung Ihrer Konto-E-Mail. Geschützte Aufrufe ohne gültige Anmeldung können in der aktuellen API-Konfiguration mit HTTP 403 zurückkommen. Der Antworttext erklärt beispielsweise Invalid or inactive API key. oder Email address is not verified.. Weitere Fälle: Limits & Fehler.