Een API-sleutel aanmaken en beveiligen

Met een API-sleutel kan een ander programma, bijvoorbeeld je boekhoudpakket, je gegevens bij ons ophalen zonder dat je je inloggegevens hoeft te delen. Je vindt dit in je klantportaal onder Account → API-sleutels.

Wat kan er met zo'n sleutel?

Alleen lezen, en alleen je administratie: je klantgegevens en je facturen. Er kan met een API-sleutel niets besteld, gewijzigd of opgezegd worden. Wat er precies op te vragen is, staat in de API-documentatie waar je vanaf deze pagina naartoe klikt.

Een sleutel aanmaken

1. Ga naar Account → API-sleutels.
2. Geef bij Naam aan waar de sleutel voor is, bijvoorbeeld "Boekhoudkoppeling". Zo weet je later welke sleutel je waarvoor gebruikt.
3. Vul eventueel bij Toegestane IP-adressen in vanaf welke adressen de sleutel gebruikt mag worden, één per regel.
4. Klik op Sleutel genereren.

Je ziet de sleutel maar één keer

Direct na het aanmaken staat de sleutel bovenaan in beeld, met een knop om hem te kopiëren. Sla hem meteen op in het programma waarvoor je hem maakte, of in je wachtwoordmanager. Sluit je de pagina, dan is hij niet meer op te vragen, ook niet door ons. Ben je hem kwijt, trek hem dan in en maak een nieuwe aan.

Beperk hem tot vaste IP-adressen

Vul je niets in bij de toegestane IP-adressen, dan mag de sleutel vanaf elk adres worden gebruikt. Draait het programma dat de sleutel gebruikt op een vaste plek, bijvoorbeeld op een server of op kantoor, vul dat adres dan in. Raakt de sleutel dan toch bij iemand anders, dan heeft die er niets aan. Je kunt adressen later ook nog toevoegen of weghalen bij een bestaande sleutel.

Voor het inloggen op je account zelf kun je hetzelfde instellen. Dat staat in Inloggen beperken tot vaste IP-adressen.

Een sleutel intrekken

Gebruik je een koppeling niet meer, of vertrouw je het niet, trek de sleutel dan in bij Acties in het overzicht. Dat werkt meteen: elk programma dat die sleutel gebruikte, komt er direct niet meer in. In het overzicht zie je bij elke sleutel wanneer hij voor het laatst is gebruikt. Staat daar niets of iets van lang geleden, dan kun je hem waarschijnlijk gewoon intrekken.

Behandel een sleutel als een wachtwoord

Zet hem niet in een e-mail, niet in een chatbericht en niet in de code van je website. Maak liever per programma een aparte sleutel, dan kun je er één intrekken zonder de rest te raken. Wij vragen er nooit om.