Kernpositionierung
API-Tokens eignen sich für persönliche Skripte, Befehlszeilenwerkzeuge, Entwicklungsumgebungen und kontrollierte Automatisierung. Sie sind kein weiterer Satz von Konto-Passwörtern, sondern ein spezieller Schlüssel, der nur notwendige Vorgänge öffnen kann, jederzeit widerrufbar ist und Kontingenten sowie Prüfung unterliegt.
Bereits verfügbar
- Tokens mit Name, Zweck und den minimal nötigen Berechtigungen erstellen.
- Das vollständige Geheimnis beim Erstellen nur einmal anzeigen; der Server speichert einen irreversiblen Hash.
- Dasselbe Berechtigungsvokabular und dieselben Vorlagen wie die Zugriffsrichtlinie der Plattform verwenden.
- Einen einzelnen Token aktivieren, deaktivieren oder widerrufen, ohne andere Zugangsdaten des Kontos zu beeinflussen.
- Für API-Vorgänge eigene Kontingente und Limits festlegen.
- Den Token-Status in persönlichen Einstellungen und der Plattformverwaltung einsehen.
- Erlaubte Vorgänge mit der Standardauthentifizierung für API-Tokens aufrufen.
Minimale Berechtigung
Tokens sollten von einer konkreten Aufgabe ausgehen, etwa nur öffentliche Werke lesen, bestimmte Metadaten aktualisieren oder eigene Inhalte verwalten. Auch wenn das Konto selbst weitergehende Berechtigungen hat, erhält ein Token nur den ausdrücklich ausgestellten Bereich; der Server prüft Zieleinheit, Themenraum und Vorgang weiterhin erneut.
Kontingente und beobachtbare Fehler
Kontingente sind nicht nur eine globale Rate. Unterschiedliche API-Vorgänge haben unterschiedliche Arbeitslasten, und für Tokens lassen sich je Vorgang Grenzen anwenden, sodass große Importe, allgemeine Abfragen und sensible Schreibvorgänge unterschiedliche Schranken haben. Überschrittene Limits, fehlende Berechtigung, widerrufene Zugangsdaten und Datenkonflikte müssen jeweils erkennbare Fehler zurückgeben.
Sicher verwenden
Vollständige Tokens dürfen nicht in öffentlichem Code, Chat-Inhalten, Browser-Verlauf, Protokollen oder Versionsverwaltung erscheinen. Bei einem entdeckten Leck sollten sie sofort widerrufen und neu erstellt werden; auch nicht mehr gepflegte Tokens sollten regelmäßig bereinigt werden.
Beziehungen und Grenzen
Ein Token stellt keinen Autorisierungsablauf für Drittanbieter-Nutzende bereit; das ist die Aufgabe von OAuth. Er wird auch nicht automatisch zu MCP-Zugangsdaten. Künftige Tool-Integrationen können Tokens oder OAuth verwenden, müssen jedoch dieselben serverseitigen Berechtigungen und Kontingente einhalten.