Authentifizierung

API-Schlüssel senden

Jede API-Anfrage muss einen gültigen API-Schlüssel enthalten. Es gibt zwei Wege, ihn zu senden.

Der bevorzugte Weg ist der Authorization-Header mit dem Schema Bearer:

text

Authorization: Bearer YOUR_API_KEY

Der zweite Weg ist der X-API-Key-Header:

text

X-API-Key: YOUR_API_KEY

Ein API-Schlüssel beginnt mit idp_live_, gefolgt von 32 hexadezimalen Zeichen (den Ziffern 0 bis 9 und den Buchstaben a bis f). Der vollständige Schlüssel wird nur einmal angezeigt, in dem Moment, in dem Sie ihn erstellen.

Beispielanfrage:

bash

curl -s "https://api.idparse.com/v1/quota" \
  -H "Authorization: Bearer YOUR_API_KEY"

Hinweis

Senden Sie nur einen der beiden Header. Wenn Sie beide senden, müssen sie denselben Schlüssel enthalten.

Fehler bei der Authentifizierung

Situation	HTTP-Status	Fehlercode
Der Schlüssel fehlt oder ist falsch	401	`invalid_api_key`
Die beiden Header enthalten zwei verschiedene Schlüssel	401	`conflicting_credentials`
Der Schlüssel ist deaktiviert, das Konto ist gesperrt oder die E-Mail-Adresse ist nicht bestätigt	403	`inactive_account`

Wenn der API-Schlüssel fehlt oder ungültig ist, gibt die API einen 401-Fehler zurück:

json

{
    "success": false,
    "error": {
        "type": "https://idparse.com/errors/invalid-api-key",
        "code": "invalid_api_key",
        "title": "Invalid API Key",
        "status": 401,
        "detail": "The API key provided is missing or invalid."
    }
}

Das vollständige Fehlerformat finden Sie unter Fehlerbehandlung. Anfragen, die an der Authentifizierung scheitern, werden nie berechnet.

Aufrufe aus dem Browser

Die API erlaubt CORS-Anfragen (Cross-Origin-Anfragen, also Aufrufe, die eine Webseite an eine andere Domain sendet) von jedem Ursprung. Das ist nur eine technische Erlaubnis.

Wichtig

Legen Sie niemals einen API-Schlüssel in Browser-Code ab. Jeder, der Ihre Seite öffnet, kann ihn lesen. Rufen Sie die API von Ihrem eigenen Server aus auf, und lassen Sie Ihre Webseite mit Ihrem Server sprechen.

Sicherheitshinweise

Geben Sie Ihren API-Schlüssel niemals preis in clientseitigem JavaScript, mobilem App-Quellcode oder öffentlichen Git-Repositories.
Verwenden Sie Umgebungsvariablen oder einen Secrets-Manager zur Speicherung Ihres Schlüssels.
Rotieren Sie Ihren API-Schlüssel regelmäßig auf der Seite API-Schlüssel.
Verwenden Sie separate Schlüssel für Entwicklung und Produktion.
Überwachen Sie Ihre Nutzung im Dashboard, um unbefugte Nutzung zu erkennen.