Tworzenie klucza API i bezpieczne zarządzanie nim: odczyt, zapis, unieważnianie

Czym jest klucz API

Klucz API to długi, losowy ciąg znaków, którym program potwierdza swoją tożsamość w usłudze. Kto go zna, może zrobić wszystko, na co klucz pozwala. Dlatego klucz API trzeba przechowywać równie bezpiecznie jak hasło. W Same-QR potrzebujesz go do wiersza poleceń sameqr, do własnych skryptów korzystających z REST API oraz do agentów kodujących, takich jak Claude Code, Cursor i Codex. ChatGPT i Claude.ai go nie potrzebują, logują się przez OAuth.

Krok 1: znajdź właściwe miejsce

Zaloguj się do panelu i otwórz Konto. Znajdziesz tam sekcję „Dostęp dla CLI, skryptów i agentów”. Klucze można tworzyć tylko tutaj, po zalogowaniu w przeglądarce. Klucz nie może tworzyć kolejnych kluczy, dzięki temu skradziony klucz się nie rozmnaża.

Krok 2: wybierz uprawnienia

Są trzy poziomy. Wybieraj zawsze najmniejszy, który wystarcza do zadania.

• Raporty skanowań, analizy, asystent, który tylko odpowiada na pytania: tylko odczyt.
• Skrypty, które zakładają kody QR i strony, zmieniają nazwy i teksty, publikują, wczytują menu: odczyt + zapis.
• Procesy, które zmieniają cele istniejących kodów QR, wyłączają strony lub je usuwają: pełny. Każda taka zmiana wymaga potwierdzenia z odczytanym stanem, przez API możliwych jest najwyżej 10 na godzinę i 30 na dobę.

Przy kluczu tylko do odczytu każde zapytanie zmieniające dane zostaje odrzucone. Agent kodujący połączony przez MCP kluczem tylko do odczytu w ogóle nie widzi narzędzi zapisu.

Krok 3: okres ważności i nazwa

Każdy klucz wygasa: po 30, 90, 180 lub 365 dniach, domyślnie jest 90. Można też wybrać bez limitu, ale trzeba to zrobić świadomie, na przykład dla nocnego zadania bez człowieka, który go odnowi. Nadaj kluczowi nazwę zgodną z jego celem, na przykład „Raport miesięczny klient A”. Na jedno konto możliwych jest do 10 kluczy.

Krok 4: od razu zapisz bezpiecznie

Klucz zaczyna się od sqr_live_ i jest pokazywany dokładnie raz. Same-QR zapisuje tylko sumę kontrolną i później nie może ci go pokazać ponownie. Zapisz go od razu w menedżerze haseł. Programy odczytują go przy starcie ze zmiennej środowiskowej SAMEQR_API_KEY. Klucza nie wolno umieszczać:

• w kodzie źródłowym, a już na pewno nie w publicznym repozytorium,
• w adresie, bo adresy trafiają do logów i historii,
• w tabeli, e-mailu ani wiadomości na czacie,
• na czacie z asystentem AI,
• jako argumentu polecenia, bo wtedy trafia do historii powłoki.

Stały początek sqr_live_ ma swój cel: narzędzia szukające przypadkowo opublikowanych sekretów rozpoznają po nim klucz.

Krok 5: w razie potrzeby unieważnij

Na tej samej liście unieważnisz klucz jednym kliknięciem. Przestaje działać natychmiast, a twoje kody QR pozostają bez zmian. Wygasłe klucze zostają na liście z adnotacją, żebyś widział, dlaczego skrypt nagle przestał się łączyć. Zmiana hasła dodatkowo unieważnia wszystkie klucze naraz. Unieważnij klucz, jeśli gdzieś stał się widoczny, jeśli usługodawca już dla ciebie nie pracuje lub jeśli nie pamiętasz, do czego służył.

Podsumowanie: dlaczego Same-QR

Same-QR traktuje klucze poważnie: osobne uprawnienia, okresy ważności z rozsądnym ustawieniem domyślnym, pokazanie tylko jeden raz, zapis wyłącznie jako suma kontrolna i unieważnianie ze skutkiem natychmiastowym. Dzięki temu możesz spokojnie używać API, CLI i agentów kodujących, w każdej taryfie.

Zacznij od razu: zarejestruj się za darmo na sameqr.com, 20 dynamicznych kodów QR jest na stałe bezpłatne. API, CLI i serwer MCP są w każdej taryfie, dokumentacja jest na sameqr.com/entwickler.

Najczęściej zadawane pytania