Mit einem API-Schlüssel spricht Ihre eigene Software über die REST API mit Ihrer Plattform, zum Beispiel um Mitglieder zu lesen, jemanden in einen Kurs einzuschreiben oder eine WordPress-Website anzubinden. Jeder Schlüssel ist ein geheimes Passwort für ein Programm. Sie legen deshalb je Schlüssel fest, was er darf, und können ihn jederzeit ersetzen oder löschen.
Wer API-Schlüssel verwalten darf
API steht im Block Integrationen & API des Einstellungsmenüs. Ihre Rolle braucht API-Schlüssel verwalten zusätzlich zu Plattformeinstellungen aktualisieren. Diese Berechtigung steht einer eigenen Rolle nie zur Verfügung, deshalb können nur die eingebauten Rollen Eigentümer und Administrator hier arbeiten. Dieselbe Berechtigung öffnet auch OAuth-Apps und Single Sign-on.
Der API-Zugriff hängt von Ihrem Tarif ab. Enthält Ihr Tarif ihn nicht, zeigt die Seite „API-Zugriff ist in jedem bezahlten Tarif enthalten. Wechseln Sie den Tarif, um API-Schlüssel zu erstellen.“ zusammen mit Plan ändern, und Neuer API-Schlüssel bleibt deaktiviert. Bereits bestehende Schlüssel weist die API ab, bis der Tarif den Zugriff wieder enthält.
Einen Schlüssel erstellen
Klicken Sie auf Neuer API-Schlüssel. Der Dialog API-Key erstellen öffnet sich.
- Geben Sie unter Name des Schlüssels einen Namen ein, an dem Sie später erkennen, wer den Schlüssel nutzt, zum Beispiel das Tool oder die Website, zu der er gehört. Der Name ist Pflicht.
- Legen Sie fest, was der Schlüssel darf. Ein neuer Schlüssel startet mit vollem Zugriff, also ist jede Berechtigung ausgewählt.
- Klicken Sie auf Erstellen.
Um den Schlüssel einzuschränken, klicken Sie auf Auf bestimmte Berechtigungen beschränken. Alle Berechtigungen werden abgewählt, und Sie wählen die aus, die Sie brauchen. Die Berechtigungen sind nach Bereich gruppiert, etwa Mitglieder, Gruppen, Kurse oder Zahlungen, und jeder Bereich listet Aktionen wie Ansehen oder Verwalten mit einer kurzen Beschreibung. Alle auswählen und Alle abwählen schalten einen ganzen Bereich auf einmal. Ein Zähler zeigt, wie viele Berechtigungen der Schlüssel hat. Ein Schlüssel braucht mindestens eine Berechtigung, und Auf vollen Zugriff zurücksetzen wählt wieder alle aus.
Nachdem Sie auf Erstellen geklickt haben, zeigt der Dialog Ihr neuer API-Schlüssel den vollständigen Schlüssel ein einziges Mal. Kopieren Sie ihn und bewahren Sie ihn sicher auf. Die Liste zeigt danach nur noch die letzten vier Zeichen, und niemand kann den vollständigen Schlüssel erneut anzeigen.
Einen Schlüssel verwenden
Der Kasten API-Dokumentation über der Liste zeigt die Basis-URL der API mit einem Kopier-Button, und Dokumentation öffnen führt zur interaktiven Referenz mit allen Endpunkten.
Senden Sie den Schlüssel mit jeder Anfrage, entweder als Bearer-Token im
Header Authorization oder im Header X-Api-Key. Schlüssel beginnen mit mak_.
Eine Anfrage, die eine Berechtigung braucht, die der Schlüssel nicht hat, wird abgewiesen.
Ein Schlüssel ist an das Teammitglied gebunden, das ihn erstellt hat. Gehört diese Person nicht mehr zu Ihrem Workspace, funktioniert der Schlüssel nicht mehr. Erstellen Sie Schlüssel für dauerhafte Verbindungen deshalb mit einem Konto, das bleibt.
Die Liste zeigt jeden Schlüssel mit Name, Schlüssel, Zuletzt verwendet und Erstellt. Zuletzt verwendet wird höchstens einmal pro Minute aktualisiert. Das reicht, um zu sehen, ob ein Schlüssel noch genutzt wird.
Einen Schlüssel ändern, rotieren und löschen
Klicken Sie in der Liste auf einen Schlüssel oder nutzen Sie Bearbeiten, das Stiftsymbol in seiner Zeile, um Namen oder Berechtigungen zu ändern. Die Änderungen gelten mit Speichern.
Wenn ein Schlüssel geleakt sein könnte, rotieren Sie ihn. Schlüssel rotieren im selben Dialog fragt: „Diesen Schlüssel rotieren? Das alte Secret funktioniert sofort nicht mehr und externe Integrationen benötigen das neue.“ Nach Ihrer Bestätigung erscheint der neue Schlüssel einmal in Ihr neuer API-Schlüssel. Name und Berechtigungen bleiben gleich, und Zuletzt verwendet beginnt von vorn. Tragen Sie den neuen Schlüssel in jedem Tool ein, das den alten genutzt hat.
Um einen Schlüssel zu entfernen, nutzen Sie Löschen, das Papierkorbsymbol in seiner Zeile, oder Löschen im geöffneten Dialog, und bestätigen Sie. Jedes Tool, das ihn noch nutzt, wird ab dann abgewiesen.
OAuth-Apps, Single Sign-on und Webhooks
Einen Schlüssel einzufügen ist nicht der einzige Weg zur Anbindung:
- Mit OAuth-Apps verbinden andere MemberAreas Ihre Software über OAuth statt über einen eingefügten API-Schlüssel.
- Single Sign-on meldet Mitglieder aus einem anderen System an. Das ist beschrieben in Login, Registrierung und SSO.
- Webhooks für Mitglieder- und Zahlungsereignisse haben eine eigene Seite unter Einstellungen > Webhooks, die erscheint, sobald Zahlungen eingeschaltet sind.