API-Keys

Ein API-Key ist ein Zugang für Programme statt Menschen. Er gehört zu einem eigenen Dienstkonto und bekommt seine Rechte über Gruppen.

So geht's

Key anlegen

1. Öffnen Sie System → Benutzerverwaltung und links API-Keys.
2. Klicken Sie Neuer API-Key.
3. Geben Sie unter Name ein, der sagt, wofür der Key da ist.
4. Haken Sie die Gruppen an, aus denen die Rechte kommen.
5. Klicken Sie Erstellen.
6. Kopieren Sie den angezeigten Key und legen Sie ihn sicher ab. Schließen Sie mit Fertig.

Key widerrufen

Klicken Sie in der Zeile des Keys auf das rote Sperrsymbol ganz rechts.

Gut zu wissen

• Der Key wird nur einmal angezeigt. Geht er verloren, legen Sie einen neuen an und widerrufen den alten.
• In der Liste steht nur das Präfix des Keys.
• Ein widerrufener Key bleibt in der Liste stehen, mit dem Status widerrufen.

Achtung

Das Sperrsymbol fragt nach; erst Widerrufen in der Rückfrage widerruft den Key. Zurücknehmen lässt sich das nicht.

Tipp

Geben Sie so wenig Rechte wie möglich. Ein Key, der alles darf, ist ein Generalschlüssel.

Hintergrund

Kurz (bisher)

Ein Zugang für Programme statt Menschen: ein Schlüssel, der zu einem Dienstkonto gehört und dessen Rechte über Gruppen bekommt.

Warum es das gibt

Ein Skript, das den Zugang eines Mitarbeiters benutzt, hört auf zu funktionieren, sobald der Mitarbeiter geht – und bis dahin steht in jedem Protokolleintrag sein Name, obwohl er nichts getan hat. Ein eigener Schlüssel trennt beides.

Was Sie eintragen

• Name – wofür der Schlüssel da ist. Er steht später im Protokoll.
• Gruppen (Gruppen des Dienstkontos) – woraus die Rechte kommen. Geben Sie so wenig wie möglich: Ein Schlüssel, der alles darf, ist auf jedem Entwicklerrechner ein Generalschlüssel.

Der Schlüssel wird einmal angezeigt

Danach nie wieder – gespeichert ist nur seine Prüfsumme. Geht er verloren, wird ein neuer angelegt und der alte widerrufen. In der Liste steht nur das Präfix, damit sich Schlüssel unterscheiden lassen, ohne einen davon preiszugeben.

Stand: 01.11.2026

Gruppen des Dienstkontos#

Diese Gruppen bestimmen, was ein API-Key darf. Der Key erbt nichts von Ihnen – er bekommt genau die Rechte der angehakten Gruppen.

So geht's

1. Klicken Sie in der Benutzerverwaltung unter API-Keys auf Neuer API-Key.
2. Haken Sie unter Gruppen des Dienstkontos nur die Gruppen an, die der Key wirklich braucht.
3. Klicken Sie Erstellen.

Gut zu wissen

• Ein Key, der nur liest, braucht meist nur eine Gruppe mit Leserechten – nicht „Administratoren“.
• Gibt es mehrere Bereiche, stehen die Gruppen nach Bereich gegliedert. Gruppennamen wiederholen sich je Bereich.

Hintergrund

Kurz (bisher)

Diese Gruppen bestimmen, was der Key darf. Er erbt nichts von Ihnen – er bekommt genau die Rechte, die hier angehakt sind.

Warum es das gibt

Ein API-Key gehört einem eigenen Dienstkonto, das wie jeder andere Zugang über Gruppen berechtigt wird. Damit gibt es kein zweites Berechtigungssystem neben dem bestehenden – dieselben Gruppen, dieselben Rollen, dieselbe Nachvollziehbarkeit im Protokoll.

Dass der Key nicht Ihre eigenen Rechte übernimmt, ist die wichtigste Eigenschaft: Sonst trüge jeder ausgestellte Schlüssel die Rechte dessen, der ihn zufällig erstellt hat.

Was Sie eintragen

So wenig wie möglich. Ein Key für eine auslesende Fremdsoftware braucht meist nur eine Gruppe mit Leserechten – nicht „Administratoren”.

Gibt es mehrere Bereiche, sind die Gruppen danach gegliedert: Achten Sie auf die Überschrift, denn Gruppennamen wiederholen sich je Bereich.

Hängt zusammen mit

• Benutzerverwaltung
• Rollen
• Gruppe
• Bereich

Stand der Texte: Netbits.Flow 0.2.0.0-beta.3 · Schlüssel identity.api-key