# Authentifizierung Diese Seite behandelt die Authentifizierung für die **REST-API und die SDKs**, wo das Zugangsdatum ein API-Schlüssel ist. Vibedasher hat hier zwei Zugriffsstufen: die **authentifizierte API** (ein API-Schlüssel) und eine kleine **öffentliche No-Auth-Oberfläche**. Steuern Sie Vibedasher von Ihrem Agenten über MCP? Sie brauchen keinen Schlüssel. Installieren Sie `vibedasher-mcp` (**0.6.0 oder höher**) und führen Sie `vibedasher login` aus — Browser-Anmeldung, Sitzung in Ihrem Betriebssystem-Schlüsselbund. Siehe **[Mit Ihrem Agenten bauen](/de/guides/build-with-your-agent.md)**. API-Schlüssel sind für die SDKs, für Ihr eigenes Backend und für Headless-/CI-Maschinen, auf denen kein Browser geöffnet werden kann. ## API-Schlüssel (`X-Api-Key`)[​](#api-schlüssel-x-api-key "Direkter Link zur api-schlüssel-x-api-key") Auf die authentifizierte API — Datensätze, SQL, Visualisierungen, Verbindungen und mehr — wird mit einem **API-Schlüssel** zugegriffen, der im `X-Api-Key`-Header gesendet wird. So authentifizieren sich beide SDKs, und so authentifiziert sich der [MCP-Server](/de/guides/build-with-your-agent.md) auf einer Headless- oder CI-Maschine (über `VIBEDASHER_API_KEY`, das Vorrang vor jeder gespeicherten Login-Sitzung hat, wenn es gesetzt ist). ### Einen Schlüssel erzeugen[​](#einen-schlüssel-erzeugen "Direkter Link zur Einen Schlüssel erzeugen") Erzeugen Sie einen Schlüssel in der App unter **Einstellungen → API-Schlüssel** auf [cloud.vibedasher.com](https://cloud.vibedasher.com). Die Schlüsselerstellung ist bewusst **nur für Admins und nur per Browser-Sitzung** möglich: `POST /v1/api-keys` erfordert einen über die App angemeldeten Kontoadmin und lehnt die Authentifizierung per API-Schlüssel rundweg ab, ist also nicht Teil der SDK-Oberfläche, und Sie finden es nicht in der Referenz. Ein Schlüssel kann keinen weiteren Schlüssel erzeugen, und ein Nicht-Admin-Mitglied kann sich keinen selbst bereitstellen — das ist der Sinn der Sache. Behandeln Sie einen Schlüssel wie ein Passwort: Er trägt den Zugriff Ihres Kontos. Speichern Sie ihn in einer Umgebungsvariable oder einem Secret-Store, niemals in der Versionskontrolle. ### Ihn senden[​](#ihn-senden "Direkter Link zur Ihn senden") ``` curl https://api.vibedasher.com/api/v1/datasets \ -H "X-Api-Key: $VIBEDASHER_API_KEY" ``` Die [offiziellen SDKs](/de/api/sdks.md) verdrahten diesen Header für Sie — Sie übergeben den Schlüssel nur beim Konstruieren des Clients: ``` import { Vibedasher } from '@vibedasher/client'; const client = new Vibedasher({ apiKey: process.env.VIBEDASHER_API_KEY!, }); const page = await client.datasets.list({ limit: 50 }); ``` ``` from vibedasher import Vibedasher client = Vibedasher(api_key="") client.datasets.list() ``` ### Ein Host, geroutet über Ihren Zugangsschlüssel[​](#one-host-routed-by-your-credential "Direkter Link zur Ein Host, geroutet über Ihren Zugangsschlüssel") `https://api.vibedasher.com/api` ist die Standard-Basis-URL und die einzige Adresse, die Sie kennen müssen. Der davorliegende Edge liest Ihren Zugangsschlüssel — das Präfix Ihres `X-Api-Key` oder die in einem Browser-Sitzungstoken hinterlegte Region — und leitet die Anfrage an die Region weiter, in der die Daten Ihres Kontos liegen. Ihr Code muss nie angeben, wo das ist. (`region` ist ab `@vibedasher/client` 4.1.5 und `vibedasher` 4.3.19 optional.) Jede Region antwortet außerdem unter ihrem eigenen Hostnamen, `https://api.{region}.vibedasher.com/api`. Diese Adressen werden vollständig unterstützt, und sie sind der Weg, einen Client bewusst an eine Region zu **binden**: übergeben Sie `region` an eines der SDKs oder setzen Sie die Basis-URL von Hand. Ein ausgeworfenes Dashboard macht genau das — es hält den regionalen Host fest, gegen den es gebaut wurde, sodass das von Ihnen ausgelieferte Bundle weiterhin dieselbe Stelle abfragt. Eine Anfrage ohne jeden Zugangsschlüssel — die öffentlichen Endpunkte unten und jeder CORS-Preflight — wird von der Standardregion `eu-central-1` bedient. ## Öffentliche Endpunkte — ohne Authentifizierung[​](#öffentliche-endpunkte--ohne-authentifizierung "Direkter Link zur Öffentliche Endpunkte — ohne Authentifizierung") Die Endpunkte unter `/v1/public/*` erfordern **keine** Authentifizierung. Sie liefern nur Inhalte, die explizit **veröffentlicht und als öffentlich markiert** wurden: ``` curl https://api.vibedasher.com/api/v1/public/viz/slug/ ``` Entwürfe und private Dashboards liefern `404` — es gibt keinen Weg, unveröffentlichte Daten über die öffentliche Oberfläche zu lesen. Da diese Aufrufe keinen Zugangsschlüssel mitführen, hat der Edge nichts, wonach er routen kann, also erreichen sie die Standardregion. Wenn die Daten Ihres Kontos anderswo liegen, adressieren Sie die öffentliche Spur stattdessen über den Hostnamen Ihrer eigenen Region. ## Was niemals offengelegt wird[​](#was-niemals-offengelegt-wird "Direkter Link zur Was niemals offengelegt wird") Reine Infrastruktur und administrative Verwaltung sind vollständig von der API ausgeschlossen — Admin-Cache-/Job-/Worker-Verwaltung, die AI-Debug- und Observability-Viewer, kontoübergreifende Analysen, WebSocket-Transport und direkte Funktionsaufrufe. Diese betreiben die App intern und sind nicht Teil der dokumentierten Oberfläche. hinweis Fehlt etwas, das die API noch nicht abdeckt? Melden Sie sich über die [Kontaktseite](https://vibedasher.com/contact).