Mit API-Schlüsseln können dein Code und deine CI Fragen stellen und Ergebnisse lesen. Für KI-Assistenten wie Claude oder ChatGPT verbindest du dich per OAuth: Dafür brauchst du keinen Schlüssel.

Einen Schlüssel erstellen

  1. Geh im Portal zu Entwickler und wähl Schlüssel erstellen.
  2. Benenn ihn danach, wo er genutzt wird, zum Beispiel „CI“ oder „Preis-Bot“.
  3. Wähl seine Berechtigungen und ein tägliches Ausgabenlimit.
  4. Bestätige, dass du es bist. Der Schlüssel beginnt mit fh_live_ und wird nur einmal angezeigt: Kopier ihn sofort in deinen Secret-Speicher.

Wir speichern nur einen Hash des Schlüssels und können ihn dir deshalb nicht noch einmal zeigen. Wenn du ihn verlierst, rotier ihn.

Berechtigungen

  • questions:read: Ergebnisse und Listen.
  • questions:write: schätzen, fragen, abbrechen, teilen, hochladen.
  • templates:read: Vorlagen mit Festpreis.
  • account:read: Guthaben und Kontoauszug.
  • webhooks:read: Webhook-Endpunkte und ihre Zustellungen sehen.
  • webhooks:write: Webhook-Endpunkte anlegen, ändern, ihr Secret rotieren, testen, Zustellungen erneut senden und Endpunkte löschen.
  • apps:read: die Slack-Workspaces sehen, zu denen 50heads hinzugefügt ist, mit dem Tageslimit von jedem.
  • apps:write: das Tageslimit eines Slack-Workspace ändern oder ihn entfernen. Siehe 50heads in Slack nutzen.
  • events:read: den Ereignis-Stream lesen, für den Data-Warehouse-Export und Werkzeuge wie Airbyte (wird schrittweise eingeführt).

Für Admins einer Organisation, wo sie Dienstkonten hat (wird nach und nach eingeführt):

  • organization:read: die Organisation sehen, ihre Domains, Anmelderegeln, Single Sign-on, SCIM und Dienstkonten.
  • organization:write: Domains, Anmelderegeln und SCIM-Einstellungen ändern.
  • members:read: sehen, wo ein Mitglied der Organisation angemeldet ist.
  • members:write: ein Mitglied überall abmelden.
  • audit:read: das Audit-Protokoll lesen und exportieren.

Erstell den Schlüssel, während das Team der Organisation ausgewählt ist. Organisationsberechtigungen gelten nur, solange du Admin der Organisation bist: Bist du es nicht mehr, verliert der Schlüssel sie sofort. Manches braucht immer dich, angemeldet, egal welche Berechtigungen der Schlüssel hat: die Single-Sign-on-Verbindung, Single Sign-on zur Pflicht machen, Notfall-Inhaber, SCIM-Tokens, wie lange Audit-Ereignisse aufbewahrt werden, Aufbewahrungspflichten, ein Team übergeben und Dienstkonten. Für einen Agenten, der weiterlaufen soll, wenn Leute gehen, nimm ein Dienstkonto statt eines Schlüssels.

Gib jedem Schlüssel nur, was er braucht. Die Webhook-, App- und Organisationsberechtigungen sind nie von selbst angehakt. Siehe Webhooks.

Einen Schlüssel ändern

Wähl bei einem Schlüssel in Entwickler Berechtigungen und Limits, um ihn umzubenennen und seine Berechtigungen, sein Tageslimit, sein Limit pro Frage oder die Adressen zu ändern, von denen aus er genutzt werden darf. Eine Berechtigung entfernen, umbenennen und Limits ändern wirken sofort. Wenn du eine Berechtigung hinzufügst, musst du zuerst bestätigen, dass du es bist, genau wie beim Erstellen. Nutzt du die Zwei-Schritt-Anmeldung, bestätige mit deiner Authenticator-App, einem Passkey oder einem Wiederherstellungscode.

Schlüssel in einem Team

Ein Schlüssel, der erstellt wird, während ein Team ausgewählt ist, verbraucht die Credits des Teams. Der Inhaber und die Admins des Teams können ihn sehen, seine Limits ändern und ihn widerrufen. Siehe Dein Team.

Rotieren und widerrufen

Rotieren erzeugt ein neues Secret für denselben Schlüssel mit denselben Einstellungen. Das alte Secret funktioniert noch 24 Stunden, damit du deine Skripte umstellen kannst, und dann nicht mehr. Widerrufen deaktiviert den Schlüssel endgültig, innerhalb einer Sekunde.

Alte Schlüssel

Schlüssel, die vor den Berechtigungen erstellt wurden, können nur fragen, Ergebnisse lesen, Vorlagen nutzen und dein Guthaben sehen, und sie haben kein Tageslimit. Neue lassen sich nicht mehr erstellen. Die, die du noch hast, stehen in Entwickler unter Alte Schlüssel, und du kannst sie dort widerrufen. Wir stellen sie nach 90 Tagen Ankündigung per E-Mail ein. Erstell einen neuen Schlüssel mit Berechtigungen und Limit, stell deinen Code darauf um und widerrufe dann den alten.

Halte Schlüssel geheim

Schlüssel sind für Server gedacht. Anfragen mit einem Schlüssel aus einem Webbrowser werden abgelehnt, damit niemand einen Schlüssel von einer Webseite abgreifen kann. Committe Schlüssel nie in ein Repository.

Authentifizierung, Fehler und Rate-Limits findest du in der Entwicklerdokumentation (auf Englisch).