API-key

Hoe werkt een API-key?

Je maakt de key aan in het systeem waar je gegevens uit wilt halen, bijvoorbeeld je boekhoudpakket of de omgeving van OpenAI. Je krijgt een reeks letters en cijfers, zoiets als sk-4f9a..., en die geef je mee aan de applicatie die verbinding moet maken. Bij elk verzoek stuurt die applicatie de key mee, en het andere systeem controleert of hij geldig is en wat hij mag.

Vaak kun je bij het aanmaken kiezen wat de key mag: alleen lezen of ook schrijven, alleen facturen of ook klantgegevens. Kies altijd zo weinig als nodig. Een key die alleen de omzet hoeft op te halen, hoeft geen klanten te kunnen verwijderen.

Wat is het verschil tussen een API-key en een wachtwoord?

Een wachtwoord is voor een mens, een API-key voor een applicatie. Een key wordt niet ingetypt maar staat in de instellingen van de software die hem gebruikt, en er hoort meestal geen tweede stap bij zoals een code op je telefoon.

Dat maakt hem kwetsbaarder dan je zou denken. Wie de key in handen krijgt, kan precies hetzelfde als jouw applicatie, zonder dat er ergens een melding komt dat er iemand nieuw inlogt.

Waar gaat het mis met API-keys?

Meestal op dezelfde drie plekken. De key staat in de code die in de browser draait, waar iedereen hem met twee klikken kan uitlezen. De key staat in een bestand dat per ongeluk mee online gaat, bijvoorbeeld in een openbare repository op GitHub. Of de key wordt rondgestuurd in een mail of chatbericht en staat daarna in drie mailboxen.

Bij applicaties die snel met AI in elkaar zijn gezet, zie je het eerste vaak. Het werkt, de demo is overtuigend, en ondertussen kan iedere bezoeker de key voor de AI-dienst meenemen en op jouw rekening gebruiken. Bij een key met toegang tot klantgegevens wordt het een datalek, met alle gevolgen van de AVG.

Wat heb je nodig om API-keys veilig te gebruiken?

Keys horen op de server, niet in de browser. Ze staan in een afgeschermde plek voor geheimen, niet in de code zelf. Elke koppeling krijgt zijn eigen key, zodat je er één kunt intrekken zonder dat de rest stilvalt. En je vervangt ze periodiek, en meteen als iemand vertrekt die erbij kon.

Zet daarnaast een limiet op wat een key mag kosten, als het systeem dat toestaat, en monitoring op ongebruikelijk verbruik. Bij mij hoort dat bij elke koppeling die ik bouw, zie Applicatieontwikkeling.