Schlüssel, Berechtigungen und Umgebungen
Schlüssel gehören zu Projekten, funktionieren in einer Umgebung und können nur, was ihre Berechtigungen erlauben. Inhaber, Admins und Entwickler verwalten sie im Dashboard; Betrachter können sie sehen.
Test und Live
| Test | Live | |
|---|---|---|
| Schlüsselpräfix | sk_test_ | sk_live_ |
| Signaturzertifikat | Unsere Test-Zertifikatskette | Unsere Live-Zertifikatskette |
| Monatliches Kontingent | Ein eigenes: 100 Markierungen im Free-Plan, in kostenpflichtigen Plänen so viele wie das Live-Kontingent | Das Ihres Plans |
| Gedacht für | Entwicklung, CI, Ausprobieren von Optionen | Dateien, die Sie veröffentlichen |
Beide Umgebungen führen denselben Code und dieselben Prüfungen aus. Mit einem Testschlüssel markierte Dateien sind wirklich markiert, aber mit der Test-Zertifikatskette signiert, sodass ein Prüftool sie unterscheiden kann.
Berechtigungen
Geben Sie jedem Schlüssel so wenige Berechtigungen wie nötig. Berechtigungen für künftige Endpunkte lassen sich schon jetzt setzen.
| Berechtigung | Erlaubt | Verfügbar |
|---|---|---|
mark | POST /v1/mark: Dateien in der Cloud markieren | Jetzt |
tsa | POST /v1/tsa/{key}: Zeitstempel für den lokalen Modus. Steht sie allein auf einem Schlüssel, ist das die einzige Art Schlüssel, die in einer URL erlaubt ist | Jetzt |
sign | POST /v1/sign: die Signatur des lokalen Modus, für das SDK und die ComfyUI-Nodes | Jetzt |
check | POST /v1/check: die Sicherheitsprüfung eines Bildes. Die Option check von POST /v1/mark braucht nur mark | Jetzt |
verify | Noch nichts: POST /v1/verify und seine signierten Ergebnisse brauchen keinen Schlüssel | Reserviert |
GET /v1/usage funktioniert mit jedem gültigen Schlüssel.
Projekte
Projekte gruppieren Schlüssel, zum Beispiel pro App oder pro Kunde. Für jede Organisation wird zu Beginn das Projekt Default angelegt. Wird ein Projekt gelöscht, werden seine Schlüssel sofort widerrufen; sein Nutzungsverlauf bleibt erhalten.
IP-Allowlists
Ein Schlüssel lässt sich auf IPv4- und IPv6-Bereiche in CIDR-Notation beschränken, etwa 203.0.113.0/24 oder 2001:db8::/32. Eine einzelne Adresse entspricht einem /32 oder /128. Bis zu 100 Bereiche pro Schlüssel; eine leere Liste erlaubt jede Adresse. Anfragen von anderswo erhalten 403 ip_not_allowed.
- Maßgeblich ist die Adresse, von der aus Ihre Anfrage unseren Zugangspunkt erreicht: hinter NAT oder einem Proxy also dessen öffentliche Ausgangsadresse.
- Eine IPv4-Adresse, die als IPv6 ankommt (
::ffff:192.0.2.1), passt zu IPv4-Bereichen. - Bereiche werden in kanonischer Form gespeichert: Host-Bits werden auf null gesetzt, aus
10.1.2.3/8wird also10.0.0.0/8. - Jede Änderung an der Allowlist eines Schlüssels wird im Audit-Log festgehalten, mit der Liste davor und danach.
Erstellen und Widerrufen
- Zum Erstellen von Schlüsseln brauchen Sie eine bestätigte E-Mail-Adresse.
- Der Schlüssel wird einmal angezeigt, beim Erstellen. Wir speichern nur seinen SHA-256-Hash, seine ersten Zeichen und seine letzten vier.
- Das Dashboard zeigt, wann jeder Schlüssel zuletzt verwendet wurde (höchstens einmal pro Minute aktualisiert).
- Ein Widerruf wirkt sofort und lässt sich nicht rückgängig machen.