API-Schlüssel

Was ist ein API-Schlüssel?

Ein API-Schlüssel (API Key) ist ein statisches Geheimnis in Form einer Zeichenkette, das die Anwendung, das Projekt oder die Integration identifiziert, die eine API aufruft. So kann der Anbieter die Anfrage authentifizieren, Kontingente anwenden und die Nutzung abrechnen. Er authentifiziert den Aufrufer, nicht eine Person: Wer den Schlüssel besitzt, kann ihn von jedem Rechner aus nutzen. Ein API-Schlüssel bleibt meist gültig, bis ihn jemand widerruft, oft mit allen Rechten des erstellenden Kontos.

Das Wichtigste in Kürze

• Ein API-Schlüssel identifiziert eine Anwendung oder ein Projekt, keine Person, daher erhält jeder, der ihn kopiert, genau denselben Zugriff.
• Ein API-Schlüssel bleibt meist bis zum Widerruf gültig, deshalb bleibt ein in ein Repository oder Ticket kopierter Schlüssel dauerhaft nutzbar.
• Ein von Mitarbeitenden erstellter API-Schlüssel funktioniert nach dem Austritt oft weiter, weil viele Anwendungen ihn dem Workspace statt dem Benutzer zuordnen.
• Das Offboarding muss die API-Schlüssel der austretenden Person erfassen und widerrufen, denn die Sperre im Identity Provider erreicht diese Schlüssel nicht.

So funktioniert ein API-Schlüssel

• Erstellung: Eine Person oder ein Admin erzeugt den Schlüssel in den Einstellungen oder der Entwicklerkonsole der Anwendung, manchmal mit Berechtigungsumfang oder Ablaufdatum.
• Ablage: Der Schlüssel landet in einem Skript, einer Konfigurationsdatei, einem Integrationstool oder einem Secrets Manager. Meist verliert die erstellende Person genau hier die Kontrolle.
• Nutzung: Jede Anfrage enthält den Schlüssel in einem Header oder Abfrageparameter, und die API gleicht ihn mit ihrer Liste aktiver Schlüssel ab.
• Rechte: Der Schlüssel erbt die ihm zugewiesenen Berechtigungen, häufig sämtliche Rechte des erstellenden Kontos oder Projekts.
• Widerruf: Der Schlüssel funktioniert erst dann nicht mehr, wenn ihn jemand in der Anwendung löscht oder rotiert, oder wenn ein Ablaufdatum gesetzt wurde.

API-Schlüssel oder OAuth-Zugriffstoken: Welcher Unterschied zählt?

• API-Schlüssel: einmal von einer Person erstellt, an eine Anwendung oder ein Projekt gebunden, gültig bis zum Widerruf, oft mit weitreichenden Rechten. Der Schlüssel selbst verrät nicht, für wen er handelt.
• OAuth-Zugriffstoken: von einem Autorisierungsserver ausgestellt, nachdem eine Person oder ein Admin bestimmte Scopes freigegeben hat, kurzlebig und über den OAuth-Ablauf erneuert statt von Hand kopiert.

Für die Governance zählt die Nachvollziehbarkeit. Ein Zugriffstoken geht auf eine erteilte Autorisierung zurück, die der Autorisierungsserver zurückziehen kann. Ein API-Schlüssel geht nur auf die Erinnerung der Person zurück, die ihn erstellt hat. Deshalb gehört jeder Schlüssel in einen Secrets Manager, mit einer verantwortlichen Person und einem Rotationsdatum.

Beispiele und Anwendungsfälle

Ein E-Commerce-Unternehmen mit 180 Mitarbeitenden lässt seine Leiterin Marketing Operations die E-Mail-Plattform, das CRM und das Analysetool über API-Schlüssel verbinden, die sie in ihrem eigenen Konto erzeugt. Die Schlüssel liegen in einem Automatisierungstool und in zwei Skripten auf einem geteilten Laufwerk. Bei ihrem Austritt sperrt die IT ihr Google-Workspace-Konto und entfernt sie aus den bekannten SaaS-Anwendungen.

Die Schlüssel laufen trotzdem weiter: In zwei der drei Tools gehören sie zum Workspace und nicht zu ihrem Benutzer, und niemand sonst weiss, wo sie liegen. Öffnet einer davon den Zugang zu Kundendaten, wird ein Leak schnell auch zum DSGVO-Thema.

Das Inventar von Corma zeigt die SaaS-Anwendungen und Konten jeder Person, und seine Offboarding-Workflows entfernen Konten und Zugriffe in diesen Anwendungen, auch in solchen ohne SCIM. Diese Liste zeigt der IT, wo Schlüssel der ausgetretenen Person liegen können, damit sie in jeder Anwendung widerrufen oder rotiert werden und nicht nur im Identity Provider.

Verwandte Begriffe

• Secrets Management
• Dienstkonto (Service Account)
• Nicht-menschliche Identität (NHI)
• OAuth 2.0
• IT-Offboarding
• Identity-and-Access-Management-Plattform von Corma

FAQ

Ist ein API-Schlüssel dasselbe wie ein Passwort?

Nein. Ein Passwort weist die Identität einer Person nach, meist zusammen mit einem zweiten Faktor. Ein API-Schlüssel identifiziert eine Anwendung, hat keinen zweiten Faktor und funktioniert für jeden, der ihn kopiert.

Laufen API-Schlüssel ab?

Nur wenn die Anwendung oder die erstellende Person ein Ablaufdatum festlegt. Viele Schlüssel bleiben gültig, bis sie von Hand gelöscht oder rotiert werden.

Was passiert mit API-Schlüsseln, wenn Mitarbeitende das Unternehmen verlassen?

Das hängt von der Anwendung ab. Manche deaktivieren die Schlüssel gelöschter Benutzer, andere ordnen sie dem Workspace zu und lassen sie aktiv. Jeder Schlüssel muss daher in der Anwendung geprüft und widerrufen werden.

Wo sollten API-Schlüssel gespeichert werden?

In einem Secrets Manager oder dem Secret Store der Deployment-Plattform, nie im Quellcode, in Tickets oder in Chats.

Demo anfragen