API-sleutel aanmaken en veilig beheren: lezen, schrijven, intrekken

Wat een API-sleutel is

Een API-sleutel is een lange, willekeurige tekenreeks waarmee een programma zich bij een dienst legitimeert. Wie hem kent, kan alles doen wat de sleutel toestaat. Daarom hoort een API-sleutel veilig bewaard te worden, net als een wachtwoord. Bij Same-QR heb je hem nodig voor de opdrachtregel sameqr, voor eigen scripts op de REST-API en voor coding-agents zoals Claude Code, Cursor en Codex. ChatGPT en Claude.ai hebben er geen nodig, die loggen in via OAuth.

Stap 1: de juiste plek vinden

Log in op het dashboard en open Account. Daar staat het onderdeel „Toegang voor CLI, scripts en agents”. Sleutels kunnen alleen hier worden aangemaakt, met een login in de browser. Een sleutel kan geen andere sleutels maken, zo vermenigvuldigt een gestolen sleutel zich niet.

Stap 2: rechten kiezen

Er zijn drie niveaus. Kies altijd het laagste dat voor de taak volstaat.

• Scanrapporten, analyses, een assistent die alleen vragen beantwoordt: alleen lezen.
• Scripts die QR-codes en pagina's aanmaken, namen en teksten wijzigen, publiceren, kaarten inlezen: lezen + schrijven.
• Processen die bestemmingen van bestaande QR-codes wijzigen, pagina's offline zetten of verwijderen: volledig. Elke zo'n wijziging vraagt een bevestiging met de uitgelezen stand, via de API zijn hoogstens 10 per uur en 30 per dag mogelijk.

Met een leessleutel wordt elk verzoek dat iets wijzigt, geweigerd. Een coding-agent die via MCP met een leessleutel is verbonden, ziet de schrijvende hulpmiddelen helemaal niet.

Stap 3: looptijd en naam

Elke sleutel verloopt: na 30, 90, 180 of 365 dagen, standaard is 90 ingesteld. Onbeperkt kan ook, maar dat moet je bewust kiezen, bijvoorbeeld voor een nachtelijke taak zonder mens die de sleutel vernieuwt. Geef de sleutel een naam naar zijn doel, bijvoorbeeld „Maandrapport klant A”. Per account zijn maximaal 10 sleutels mogelijk.

Stap 4: meteen veilig opslaan

De sleutel begint met sqr_live_ en wordt precies één keer getoond. Same-QR slaat alleen een controlesom op en kan hem je later niet nog eens laten zien. Zet hem direct in je wachtwoordmanager. Programma's lezen hem bij het starten uit de omgevingsvariabele SAMEQR_API_KEY. Een sleutel hoort niet:

• in de broncode, zeker niet in een openbare repository,
• in een adres, want adressen belanden in logboeken en geschiedenissen,
• in een tabel, e-mail of chatbericht,
• in de chat met een AI-assistent,
• als argument in een opdracht, want dan staat hij in de shellgeschiedenis.

Het vaste begin sqr_live_ heeft een doel: hulpmiddelen die zoeken naar per ongeluk gepubliceerde geheimen, herkennen de sleutel eraan.

Stap 5: intrekken als het nodig is

In dezelfde lijst trek je een sleutel met één klik in. Hij is meteen ongeldig, je QR-codes blijven ongewijzigd. Verlopen sleutels blijven met een vermelding in de lijst staan, zodat je ziet waarom een script ineens niet meer doorkomt. Een wachtwoordwijziging trekt bovendien alle sleutels in één keer in. Trek een sleutel in als hij ergens zichtbaar is geworden, als een dienstverlener niet meer voor je werkt of als je niet meer weet waarvoor hij dient.

Conclusie: waarom Same-QR

Same-QR neemt sleutels serieus: gescheiden rechten, looptijden met een verstandige standaardinstelling, maar één keer tonen, opslag alleen als controlesom en intrekking met onmiddellijke werking. Zo kun je API, CLI en coding-agents rustig inzetten, in elk abonnement.

Begin meteen: registreer je gratis op sameqr.com, 20 dynamische QR-codes zijn blijvend gratis. API, CLI en MCP-server zijn er in elk abonnement, de documentatie staat op sameqr.com/entwickler.

Veelgestelde vragen