Vytvoření a bezpečná správa API klíčů: čtení, zápis, odvolání

Co je API klíč

API klíč je dlouhý náhodný řetězec znaků, kterým se program prokazuje službě. Kdo ho zná, může dělat všechno, co klíč dovoluje. Proto se API klíč musí uchovávat stejně bezpečně jako heslo. U Same-QR ho potřebuješ pro příkazový řádek sameqr, pro vlastní skripty využívající REST API a pro coding agenty jako Claude Code, Cursor a Codex. ChatGPT a Claude.ai klíč nepotřebují, přihlašují se přes OAuth.

Krok 1: najdi správné místo

Přihlas se do dashboardu a otevři Účet. Najdeš tam oddíl „Přístup pro CLI, skripty a agenty“. Klíče jde vytvořit jen tady, po přihlášení v prohlížeči. Klíč nemůže vytvářet další klíče, takže se ukradený klíč nemůže množit.

Krok 2: zvol práva

Existují tři úrovně. Vždy zvol nejmenší, která na úkol stačí.

• Reporty skenů, vyhodnocování, asistent, který jen odpovídá na otázky: jen čtení.
• Skripty, které vytvářejí QR kódy a stránky, mění názvy a texty, publikují, načítají jídelní lístky: čtení + zápis.
• Postupy, které mění cíle stávajících QR kódů, vypínají nebo mažou stránky: plný. Každá taková změna potřebuje potvrzení s přečteným stavem, přes API jich jde nejvýše 10 za hodinu a 30 za den.

S klíčem pro čtení dostane každý požadavek, který něco mění, zamítnutí. Coding agent, který je přes MCP připojený s klíčem pro čtení, nástroje pro zápis vůbec nevidí.

Krok 3: platnost a název

Každý klíč vyprší: po 30, 90, 180 nebo 365 dnech, předvoleno je 90. Jde zvolit i neomezenou platnost, ale musíš to udělat vědomě, třeba pro noční úlohu bez lidí, která klíč obnovuje. Dej klíči název podle účelu, třeba „Měsíční report klient A“. Na jeden účet můžeš mít až 10 klíčů.

Krok 4: ihned ho bezpečně ulož

Klíč začíná sqr_live_ a zobrazí se přesně jednou. Same-QR ukládá jen kontrolní součet a později ti klíč znovu ukázat nemůže. Ulož ho rovnou do správce hesel. Programy ho při startu čtou z proměnné prostředí SAMEQR_API_KEY. Klíč nepatří:

• do zdrojového kódu, už vůbec ne do veřejného repozitáře,
• do adresy, protože adresy končí v protokolech a historii,
• do tabulky, e-mailu nebo zprávy v chatu,
• do chatu s AI asistentem,
• jako argument příkazu, protože pak zůstane v historii shellu.

Pevný začátek sqr_live_ má svůj účel: nástroje, které hledají omylem zveřejněná tajemství, podle něj klíč poznají.

Krok 5: v případě potřeby odvolej

Ve stejném seznamu klíč odvoláš jedním kliknutím. Okamžitě přestane platit, tvé QR kódy zůstanou beze změny. Prošlé klíče zůstávají v seznamu s poznámkou, abys viděl, proč skript najednou přestal procházet. Změna hesla navíc odvolá všechny klíče najednou. Klíč odvolej, pokud se někde objevil na očích, pokud pro tebe přestal pracovat dodavatel nebo pokud už nevíš, k čemu klíč slouží.

Závěr: proč Same-QR

Same-QR bere klíče vážně: oddělená práva, platnost s rozumným předvolením, zobrazení jen jednou, uložení jen jako kontrolní součet a odvolání s okamžitým účinkem. Díky tomu můžeš API, CLI a coding agenty používat v klidu, v každém tarifu.

Začni hned: zaregistruj se zdarma na sameqr.com, 20 dynamických QR kódů je trvale zdarma. API, CLI a server MCP jsou v každém tarifu, dokumentace je na sameqr.com/entwickler.

Často kladené otázky