Halte deine API-Tokens sicher

Ein API-Token handelt in deinem Music24-Workspace als du. Bewahre es wie ein Passwort auf und widerrufe es unter Einstellungen, API, sobald es nach außen gelangt.

Behandle ein API-Token wie ein Passwort. Wer es hat, kann deine Music24-Daten lesen und dein Konto in diesem Workspace als du nutzen, bis du es widerrufst. Es kann weder deine E-Mail ändern, Tokens erstellen oder widerrufen noch dein Konto löschen: Dafür brauchst du dich selbst, angemeldet in der App.

Sicher aufbewahren

• Ein Token beginnt mit m24_. Wir zeigen das vollständige Token einmal, wenn du es erstellst. Wir speichern nur einen Einweg-Hash und können es deshalb nicht noch einmal anzeigen.
• Bewahre es in einem Passwortmanager, einem Secret-Manager oder einer Umgebungsvariablen auf dem Server auf. Leg es nie in ein öffentliches Code-Repository, auf eine Webseite oder in eine App, die andere herunterladen können.
• Gib jeder App ein eigenes Token mit einem klaren Namen. Dann kannst du eines widerrufen, ohne die anderen kaputtzumachen. Du kannst 5 aktive Tokens haben.
• Ein Token funktioniert in dem Workspace, in dem du es erstellt hast, und nur dort.

Token widerrufen

1. Öffne Einstellungen und wähle API. In den Apps tippst du auf deinen Avatar, dann auf Einstellungen und API.
2. Such unter Tokens das Token anhand seines Namens und Präfixes und wähle Widerrufen.
3. Bestätige mit Token widerrufen. Jede App, die dieses Token nutzt, funktioniert ab sofort nicht mehr.

Wann ein Token von selbst aufhört

• Du verlässt den Workspace, oder sein Inhaber entfernt dich.
• Der Workspace verlässt den Label-Plan. Anfragen werden abgelehnt, bis er wieder API-Zugriff hat.
• Du löschst dein Konto. Jedes Token wird widerrufen.
• Abmelden stoppt kein Token. Widerrufe es unter Einstellungen, API.

KI-Clients (MCP)

Wenn du einen KI-Client freigibst, bekommt er ein Token für deinen Workspace. Ein Client, den du nur zum Lesen freigegeben hast, kann deine Daten lesen, und jede Änderung wird abgelehnt. Ein Client, den du für die Arbeit für dich freigegeben hast, kann außerdem Assets erstellen, Posts einplanen und SmartLinks bearbeiten, und er fragt dich zuerst, bevor etwas öffentlich wird, Credits verbraucht oder gelöscht wird. Schütze ihn so gut wie ein API-Token, denn er liest alles im Workspace. Sein Access-Token gilt 1 Stunde. Der Client erneuert es selbst und behält den Zugriff, solange er es mindestens alle 30 Tage erneuert. Die freigegebenen Clients siehst du unter Einstellungen → API → Verbundene Apps. Um einen zu sperren, wähle Widerrufen und dann Zugriff widerrufen: Er verliert sofort den Zugriff. Wenn du Hilfe brauchst, schreib an [email protected].

Fragen

Ähnliche Artikel