Zum Inhalt springen
DEEN

API-Schlüssel

Das kryptografische Token, das Ihre Systeme identifiziert, wenn sie mit Cord interagieren.

So funktionieren die Schlüssel

Der Tab Schlüssel der Workbench im Vollbild: oben 3.412 von 5.000 API-Anfragen in diesem Monat genutzt und die Version 2026-10-01; darunter geheime, eingeschränkte und öffentliche Schlüssel im Live- und Testmodus, jeweils mit maskiertem Token und den letzten 4 Zeichen, Berechtigungen, letzter Nutzung, Erstellung und Ablauf, dazu eine OAuth-Verbindung und ein widerrufener Schlüssel.

Jede programmatische Anfrage an die Cord-API erfordert einen API-Schlüssel. Sie können Schlüssel im Tab Schlüssel der Cord Workbench verwalten, widerrufen und ihre Nutzung überwachen – das ist die Schaltfläche „Entwickler“ in der rechten unteren Ecke der App, die erscheint, sobald Sie den Entwicklermodus unter Ihr Konto › Präferenzen aktivieren.

Aus Sicherheitsgründen speichern die Systeme von Cord Ihren API-Schlüssel als nicht umkehrbaren Hash (sha-256). Der Schlüssel im Klartext (die Zeichenkette, die mit sk_..., rk_... oder pk_... beginnt) wird Ihnen nur einmal beim Erstellen angezeigt. Wenn Sie ihn verlieren, lässt er sich nicht wiederherstellen; Sie müssen ihn widerrufen und einen neuen erstellen.

Identitätsbestätigung

Einen Schlüssel zu erstellen oder zu rotieren und seine Berechtigungen, erlaubten IPs oder MCP-Tools zu ändern, erfordert, dass Sie Ihre Identität mit Ihrem Passwort bestätigen, oder mit dem Code Ihrer Authenticator-App, wenn Ihr Konto kein Passwort verwendet. Die Bestätigung gilt 10 Minuten. Ein Schlüssel funktioniert weiter, auch wenn die Sitzung endet, die ihn erstellt hat; deshalb lässt Cord ihn nicht aus einer Sitzung erstellen, die niemand kürzlich bestätigt hat. Hat Ihr Konto weder Passwort noch Bestätigungscode, melden Sie sich ab und wieder an: Die Anmeldung gilt für diese 10 Minuten als Bestätigung. Einen Schlüssel umzubenennen oder zu widerrufen erfordert sie nicht.

Bewährte Sicherheitspraktiken

Laden Sie geheime Schlüssel nicht in Repositorys hoch

Committen Sie niemals (z. B. in Git) einen Schlüssel, der mit sk_live_ beginnt. Legt ein öffentliches Repository Ihren Schlüssel offen, kann ihn jeder mit denselben Berechtigungen wie Ihr Backend nutzen, bis Sie ihn manuell in der Workbench widerrufen – Cord erkennt ihn nicht und sperrt ihn nicht für Sie. Verwenden Sie auf Ihren Servern Umgebungsvariablen (etwa nicht versionierte .env-Dateien) und prüfen Sie das Aktivitätsprotokoll des Schlüssels, wenn Sie vermuten, dass er offengelegt wurde.

Verwenden Sie den richtigen Geltungsbereich (öffentlich oder geheim)

  • Geheime Schlüssel (sk_): Greifen auf die gesamte API zu, nur lesend oder lesend und schreibend, je nach dem Geltungsbereich, den Sie beim Erstellen wählen. Sie gehören ausschließlich auf Backend-Server unter Ihrer Kontrolle.
  • Eingeschränkte Schlüssel (rk_): Ebenfalls für den Server, aber mit einer Berechtigung pro Ressource (none, read oder write). Siehe eingeschränkte Schlüssel.
  • Öffentliche Schlüssel (pk_): Dafür ausgelegt, sicher in Webanwendungen (Frontend) eingebunden zu werden. Cord schränkt automatisch ein, was diese Schlüssel sehen können, oder blendet sensible Felder aus (etwa Kosten und Marge der Produkte), wenn eine damit signierte Anfrage eingeht.

Aktivität in Echtzeit

Der Tab Protokolle der Workbench ist ein Live-Audit-Log der Nutzung jedes Schlüssels: Filtern Sie nach Methode oder Statusklasse, suchen Sie nach Route und wählen Sie eine beliebige Anfrage aus, um zu sehen, welche IP, welcher Schlüssel und welcher Kanal (REST-API oder MCP) sie ausgelöst hat. MCP-Aufrufe erscheinen mit dem aufgerufenen Tool, zum Beispiel /mcp/tools/call:listar_productos.