API-sleutel

Een API-sleutel is een geheime code waarmee een dienst herkent dat een verzoek van jouw account komt. Via een API kunnen programma’s met elkaar praten, en de sleutel laat zien wie het verzoek doet. Wie de sleutel heeft, kan verzoeken doen op jouw account en jouw kosten, zolang de sleutel geldig is.

Een API-sleutel is dus geen publieke instelling. Hij hoort bij je account en je betaalgegevens, en daarom mag hij nooit zichtbaar zijn voor bezoekers van je site. Voor de bezoeker is er niets van te zien, en je merkt een gelekte sleutel meestal pas als de rekening komt. Dat geldt ook voor een sleutel die in een openbare code-opslagplaats, een screenshot of een mail terechtkomt.

Je komt een API-sleutel vooral tegen bij AI-diensten, bij koppelingen tussen systemen en bij sommige plugins. De sleutel is meestal een lange reeks tekens die je in een instellingenpagina plakt. Hij lijkt daarmee op een wachtwoord voor een programma. Soms wordt ook de term token gebruikt; de werking is sterk vergelijkbaar.

Een AI-chatbot die via een API werkt, gebruikt zo’n sleutel om het model aan te roepen. Meer over die opzet lees je bij wat een AI-chatbot is. Meer over AI-toepassingen op je site vind je in de AI-kennisbank.

Misbruik van een API-sleutel kan leiden tot een hoge rekening, een dienst die wordt afgesloten door limieten, of gegevens die via jouw account worden verwerkt. Sommige aanbieders blokkeren een sleutel bij ongewoon verbruik, wat ook je eigen functie kan verstoren.

Een paar principes beschermen je sleutel:

• Roep de dienst aan vanaf je server, niet vanuit de browser van de bezoeker.
• Bewaar de sleutel apart, bijvoorbeeld in een omgevingsvariabele, en niet in de code.
• Geef de sleutel alleen de rechten en het budget die nodig zijn.
• Gebruik aparte sleutels per project, zodat je een gelekte sleutel kunt intrekken zonder alles te verstoren.