Authentifizierung

Diese Seite behandelt die Authentifizierung für die REST-API und die SDKs, wo das Zugangsdatum ein API-Schlüssel ist. Vibedasher hat hier zwei Zugriffsstufen: die authentifizierte API (ein API-Schlüssel) und eine kleine öffentliche No-Auth-Oberfläche.

Steuern Sie Vibedasher von Ihrem Agenten über MCP?

Sie brauchen keinen Schlüssel. Installieren Sie vibedasher-mcp (0.6.0 oder höher) und führen Sie vibedasher login aus — Browser-Anmeldung, Sitzung in Ihrem Betriebssystem-Schlüsselbund. Siehe Mit Ihrem Agenten bauen. API-Schlüssel sind für die SDKs, für Ihr eigenes Backend und für Headless-/CI-Maschinen, auf denen kein Browser geöffnet werden kann.

API-Schlüssel (X-Api-Key)

Auf die authentifizierte API — Datensätze, SQL, Visualisierungen, Verbindungen und mehr — wird mit einem API-Schlüssel zugegriffen, der im X-Api-Key-Header gesendet wird. So authentifizieren sich beide SDKs, und so authentifiziert sich der MCP-Server auf einer Headless- oder CI-Maschine (über VIBEDASHER_API_KEY, das Vorrang vor jeder gespeicherten Login-Sitzung hat, wenn es gesetzt ist).

Einen Schlüssel erzeugen

Erzeugen Sie einen Schlüssel in der App unter Einstellungen → API-Schlüssel auf cloud.vibedasher.com. Die Schlüsselerstellung ist bewusst nur für Admins und nur per Browser-Sitzung möglich: POST /v1/api-keys erfordert einen über die App angemeldeten Kontoadmin und lehnt die Authentifizierung per API-Schlüssel rundweg ab, ist also nicht Teil der SDK-Oberfläche, und Sie finden es nicht in der Referenz. Ein Schlüssel kann keinen weiteren Schlüssel erzeugen, und ein Nicht-Admin-Mitglied kann sich keinen selbst bereitstellen — das ist der Sinn der Sache.

Behandeln Sie einen Schlüssel wie ein Passwort: Er trägt den Zugriff Ihres Kontos. Speichern Sie ihn in einer Umgebungsvariable oder einem Secret-Store, niemals in der Versionskontrolle.

Ihn senden

curl https://api.vibedasher.com/api/v1/datasets \
  -H "X-Api-Key: $VIBEDASHER_API_KEY"

Die offiziellen SDKs verdrahten diesen Header für Sie — Sie übergeben den Schlüssel nur beim Konstruieren des Clients:

import { Vibedasher } from '@vibedasher/client';

const client = new Vibedasher({
  apiKey: process.env.VIBEDASHER_API_KEY!,
});

const page = await client.datasets.list({ limit: 50 });

from vibedasher import Vibedasher

client = Vibedasher(api_key="<your-api-key>")

client.datasets.list()

Ein Host, geroutet über Ihren Zugangsschlüssel

https://api.vibedasher.com/api ist die Standard-Basis-URL und die einzige Adresse, die Sie kennen müssen. Der davorliegende Edge liest Ihren Zugangsschlüssel — das Präfix Ihres X-Api-Key oder die in einem Browser-Sitzungstoken hinterlegte Region — und leitet die Anfrage an die Region weiter, in der die Daten Ihres Kontos liegen. Ihr Code muss nie angeben, wo das ist. (region ist ab @vibedasher/client 4.1.5 und vibedasher 4.3.19 optional.)

Jede Region antwortet außerdem unter ihrem eigenen Hostnamen, https://api.{region}.vibedasher.com/api. Diese Adressen werden vollständig unterstützt, und sie sind der Weg, einen Client bewusst an eine Region zu binden: übergeben Sie region an eines der SDKs oder setzen Sie die Basis-URL von Hand. Ein ausgeworfenes Dashboard macht genau das — es hält den regionalen Host fest, gegen den es gebaut wurde, sodass das von Ihnen ausgelieferte Bundle weiterhin dieselbe Stelle abfragt.

Eine Anfrage ohne jeden Zugangsschlüssel — die öffentlichen Endpunkte unten und jeder CORS-Preflight — wird von der Standardregion eu-central-1 bedient.

Öffentliche Endpunkte — ohne Authentifizierung

Die Endpunkte unter /v1/public/* erfordern keine Authentifizierung. Sie liefern nur Inhalte, die explizit veröffentlicht und als öffentlich markiert wurden:

curl https://api.vibedasher.com/api/v1/public/viz/slug/<slug>

Entwürfe und private Dashboards liefern 404 — es gibt keinen Weg, unveröffentlichte Daten über die öffentliche Oberfläche zu lesen.

Da diese Aufrufe keinen Zugangsschlüssel mitführen, hat der Edge nichts, wonach er routen kann, also erreichen sie die Standardregion. Wenn die Daten Ihres Kontos anderswo liegen, adressieren Sie die öffentliche Spur stattdessen über den Hostnamen Ihrer eigenen Region.

Was niemals offengelegt wird

Reine Infrastruktur und administrative Verwaltung sind vollständig von der API ausgeschlossen — Admin-Cache-/Job-/Worker-Verwaltung, die AI-Debug- und Observability-Viewer, kontoübergreifende Analysen, WebSocket-Transport und direkte Funktionsaufrufe. Diese betreiben die App intern und sind nicht Teil der dokumentierten Oberfläche.

hinweis

Fehlt etwas, das die API noch nicht abdeckt? Melden Sie sich über die Kontaktseite.