Antwort · Authentifizierung · Schlüssel

API-Schlüssel rotieren oder widerrufen

Aktualisiert am 9. November 2026 · PinnFeed · 2 Min. Lesezeit

Antwort: legen Sie im Dashboard einen neuen Schlüssel an, rollen Sie ihn aus und widerrufen Sie dann den alten. Ein widerrufener Schlüssel erhält 401 invalid_key per REST und bei neuen WebSocket-Verbindungen; offene WebSockets mit diesem Schlüssel werden mit Code 4001 key_revoked geschlossen. Bezahlte Tarife erlauben bis zu 20 aktive Schlüssel, Rotation ohne Ausfall ist also einfach. Free hat einen aktiven Schlüssel: erst widerrufen, dann neu anlegen.

Rotation ohne Ausfall (bezahlte Tarife)#

Dashboard → Schlüssel erstellen, mit Namen (z. B. bot-2026-11). Der volle Wert ps_live_... wird nur einmal angezeigt; PinnFeed speichert nur einen Hash und die ersten 12 Zeichen.
Neuen Schlüssel in Ihren Secret-Store oder die Variable PINNFEED_KEY legen und neu deployen.
Im Dashboard prüfen, dass zuletzt verwendet beim alten Schlüssel stehen bleibt.
Alten Schlüssel widerrufen. Clients, die ihn noch nutzen, erhalten 4001 (WebSocket) oder 401 (REST).

4001 im Code behandeln#

ws.on('close', (code, reason) => {
  if (code === 4001) {
    console.error('key revoked: load the new PINNFEED_KEY before reconnecting');
    return;                        // do not reconnect in a loop with a dead key
  }
  scheduleReconnect();
});

Gute Gewohnheiten#

Ein Schlüssel pro App oder Umgebung: Bei einem Leak widerrufen Sie nur einen.
Nie einen Schlüssel in Browser- oder Mobile-Code ausliefern; nutzen Sie ein eigenes Backend.
Header x-api-key statt ?key= bevorzugen: URLs landen in Logs.

Grundlagen: Authentifizierung · Fehlercodes.

Tarife#

Free: ein aktiver Schlüssel, REST, 30 s Verzögerung. Bezahlte Tarife: bis zu 20 aktive Schlüssel. Builder (99 €/Monat) bringt den WebSocket. 3 Tage Testphase; eine Karte ist erforderlich und wird nach Tag 3 belastet, sofern Sie nicht kündigen.

Bildungsinhalt für Erwachsene (18+).

Häufige Fragen#

Kann ich einen Schlüssel später noch einmal sehen?#

Nein. Nur das Präfix wird gespeichert; legen Sie bei Verlust einen neuen an.

Teilen sich Schlüssel die Limits?#

Das REST-Limit gilt pro Schlüssel; die WebSocket-Verbindungslimits zählen für das ganze Konto.

Kann ich einen Schlüssel umbenennen?#

Ja, im Dashboard; der Wert ändert sich dabei nicht.