Zugangsdaten und Tokens
Wählen, speichern, rotieren und beheben Sie Probleme bei allen Zugangsdaten, die Make Agent Fast verwendet.
Wählen, speichern, rotieren und beheben Sie Probleme bei allen Zugangsdaten, die Make Agent Fast verwendet.
Make Agent Fast verwendet mehrere Arten von Zugangsdaten. Sie sind nicht austauschbar. Bevor Sie einen Wert kopieren, klären Sie, welches System ihn ausgestellt hat, welches System ihn erhält und ob er unbedenklich in einem Browser sichtbar sein darf.
Übersicht der Zugangsdaten#
| Zugangsdaten | Erstellt in | Verwendet von | Geheim? | Typisches Format oder typischer Wert |
|---|---|---|---|---|
| Slug der veröffentlichten Website | Website-Dashboard | Embed-Loader der Website | Nein | my-agent |
| Make Agent Fast API-Schlüssel | Einstellungen → Entwickler | Ihr Backend oder Ihre Automatisierung | Ja | maf_live_... |
| OAuth-Client-ID | Einstellungen → Entwickler | Anwendung mit mehreren Konten | Nein | maf_app_... |
| OAuth-Zugriffstoken | OAuth-Token-Endpunkt | Das Backend Ihrer Anwendung | Ja | Bearer-Token, Gültigkeit eine Stunde |
| OAuth-Refresh-Token | OAuth-Token-Endpunkt | Ihr sicherer Token-Speicher | Ja | maf_refresh_..., wird bei Verwendung rotiert |
| API-Schlüssel eines KI-Anbieters (optional, Scale) | OpenRouter (Text) oder Speko (Sprache) | Make Agent Fast Backend | Ja | sk-or-... oder sk_speko_... |
| Connector-Token oder App-Secret | Telegram, Meta, Discord oder Kakao | Make Agent Fast Connector-Dienst | Ja | Anbieterspezifisch |
| Webhook-Signaturgeheimnis | Erstellung des Webhook-Endpunkts der öffentlichen API | Ihr Webhook-Empfänger | Ja | whsec_... |
Die richtige Autorisierungsmethode wählen#
Verwenden Sie einen Make Agent Fast API-Schlüssel für einen Server, den Sie kontrollieren, und ein einzelnes Make Agent Fast Konto. Wählen Sie nur die Scopes, die dieser Server benötigt.
Verwenden Sie OAuth Authorization Code mit PKCE, wenn Ihr Produkt Konten anderer Make Agent Fast Nutzer verbindet. OAuth-Anwendungen müssen geprüft werden, bevor die Autorisierung in der Produktion erfolgreich ist.
Verwenden Sie einen KI-Anbieterschlüssel nur dann, wenn Make Agent Fast diesen KI-Anbieter über Ihr Anbieterkonto aufrufen soll. Ein Anbieterschlüssel autorisiert nicht die öffentliche Make Agent Fast API.
Verwenden Sie Connector-Zugangsdaten nur im passenden Connector-Formular oder in der passenden Connector-API-Anfrage. Ein Telegram-Bot-Token kann weder Discord noch Meta noch Make Agent Fast API-Anfragen autorisieren.
Geheimnisse sicher speichern#
Legen Sie Geheimnisse für die lokale Entwicklung in einer ignorierten Umgebungsdatei oder in Ihrer Shell-Umgebung ab:
export MAF_API_KEY="maf_live_..."Verwenden Sie für das Deployment den verschlüsselten Secret-Manager Ihres Hosting-Anbieters. Legen Sie Geheimnisse nicht ab in:
- Git-Commits, Issue-Beschreibungen, Screenshots, Analytics-Eigenschaften oder Support-Nachrichten.
NEXT_PUBLIC_*,VITE_*oder anderen Variablen, die in Browser-JavaScript eingebunden werden.- Webflow, Framer, Wix, Shopify Liquid, WordPress HTML oder einem Mobile-Web-Bundle.
- Query-Strings. URLs werden häufig im Browserverlauf, in Proxys und in Logs aufbewahrt.
Führen Sie API-Aufrufe über Ihr authentifiziertes Backend aus. Der Browser sollte Ihr Backend aufrufen, und Ihr Backend sollte das Geheimnis anfügen.
const response = await fetch("https://makeagent.fast/api/v1/sites", {
headers: { Authorization: `Bearer ${process.env.MAF_API_KEY}` },
});Regeln für einmalig angezeigte Geheimnisse#
API-Schlüssel, Webhook-Signaturgeheimnisse und neu ausgestellte OAuth-Refresh-Tokens müssen kopiert werden, wenn sie angezeigt werden. Der vollständige Klartextwert kann später nicht wiederhergestellt werden. Wenn er verloren geht, erstellen Sie einen Ersatz, anstatt den Support zu bitten, ihn offenzulegen.
Zugangsdaten für KI-Anbieter und Connectors werden vor der Speicherung verschlüsselt und nicht über List-APIs zurückgegeben. Das Dashboard zeigt möglicherweise eine Bezeichnung, ein Präfix, die letzten vier Zeichen, den Validierungsstatus oder den Zeitpunkt der letzten Verwendung an, damit Sie Zugangsdaten identifizieren können, ohne sie preiszugeben.
Checkliste für die Rotation#
- Erstellen Sie den Ersatz mit denselben minimalen Scopes oder Anbieterberechtigungen.
- Aktualisieren Sie jeweils ein Deployment oder einen Empfänger nach dem anderen.
- Prüfen Sie, dass eine echte Anfrage erfolgreich ist, und notieren Sie deren
x-request-id. - Widerrufen Sie die alten Zugangsdaten.
- Bestätigen Sie, dass alte Anfragen mit
401 invalid_api_keyoder dem entsprechenden Fehler des Anbieters fehlschlagen.
Speichern Sie bei OAuth das neue Refresh-Token, das jede Refresh-Antwort zurückgibt, bevor Sie das vorherige Token verwerfen. Betreiben Sie bei der Rotation von Webhook-Geheimnissen alte und neue Endpunkte parallel, bis alle Sender und Empfänger das neue Geheimnis verwenden.
Wenn ein Geheimnis offengelegt wurde#
Widerrufen oder rotieren Sie es sofort. Es genügt nicht, es aus dem letzten Git-Commit zu entfernen, da es in der Historie, in Caches, Logs oder Forks verbleiben kann. Prüfen Sie die Aktivitäten sowohl bei Make Agent Fast als auch beim ausstellenden Anbieter und ersetzen Sie anschließend alle Zugangsdaten, die am selben Speicherort oder in derselben Deployment-Umgebung abgelegt waren.
Lesen Sie weiter bei Authentifizierung, Scopes und Fehler oder KI-Anbieterschlüssel.