API-sleutels

Overzicht

API-sleutels verifiëren je requests aan de ElevenLabs API en houden het gebruik bij ten opzichte van het quotum van je workspace. Er zijn twee typen:

• API-sleutels van gebruikers zijn van een individuele gebruiker en nemen de toegang van die gebruiker tot resources in de workspace over. Ze zijn geschikt voor persoonlijke ontwikkeling en scripts, en kunnen een vervaldatum krijgen, zodat ze na een ingestelde periode automatisch niet meer werken. Omdat ze aan een persoon zijn gekoppeld, wordt een API-sleutel van een gebruiker beïnvloed als de toegang van die gebruiker verandert of als deze persoon de workspace verlaat. Voor het maken van persoonlijke API-sleutels is een Full Seat vereist.
• API-sleutels van serviceaccounts zijn van een serviceaccount in plaats van een individu, dus ze blijven werken ongeacht wijzigingen in individuele lidmaatschappen. Ze worden aanbevolen voor backendsystemen, automatisering en productieworkloads. Serviceaccounts zijn beschikbaar voor klanten met meerdere seats en worden beheerd door workspaceadmins.

Je API-sleutel is geheim. Deel deze niet met anderen en stel deze niet bloot in client-side code (browsers, apps). Zie de referentie over API-authenticatie voor informatie over het meesturen van je sleutel met een request.

Beide typen sleutels kunnen op verschillende manieren worden beperkt:

1. Bereikbeperking: beperk tot welke API-endpoints de sleutel toegang heeft.
2. Kredietquotum: stel een aangepaste kredietlimiet in om het gebruik te beheersen.
3. IP-allowlisting: beperk de sleutel tot specifieke IP-adressen of CIDR-bereiken. Zie IP-allowlisting.

API-sleutels van gebruikers met vervaldatum

API-sleutels van gebruikers kunnen een vervaldatum krijgen, zodat ze na een ingestelde periode automatisch niet meer werken. Dit beperkt de periode waarin een gelekte of vergeten sleutel kan worden gebruikt en past bij het kortdurende karakter van sleutels die aan een individu zijn gekoppeld.

Stel een vervaldatum in wanneer je een sleutel maakt of bewerkt via je instellingen voor persoonlijke API-sleutels. Gebruik de selector Expire After om een vooraf ingestelde periode van 15 minuten tot 30 dagen te kiezen, of laat deze op Never staan (de standaardinstelling). De kolom Expires toont wanneer elke sleutel vervalt.

Zodra een sleutel de vervaldatum passeert, kan deze niet meer authenticeren en worden requests ermee geweigerd met een 401-fout. Je kunt de vervaldatum verlengen of wissen door de sleutel te bewerken voordat deze vervalt; anders roteer je naar een nieuwe sleutel.

API-sleutels roteren

Rotatie volgt in beide gevallen hetzelfde patroon: maak een nieuwe sleutel, schakel je applicaties over naar deze sleutel en verwijder daarna de oude sleutel.

API-sleutels van gebruikers roteer je via het dashboard. Open je instellingen voor persoonlijke API-sleutels, maak een nieuwe sleutel en verwijder de oude zodra je bent overgeschakeld.

API-sleutels van serviceaccounts kun je roteren via het dashboard of de API:

• Klik in het dashboard op je profielpictogram rechtsboven, selecteer Workspace settings en open het tabblad Service Accounts. Maak een nieuwe sleutel voor hetzelfde serviceaccount en verwijder de oude zodra je bent overgeschakeld.
• Maak via de API een nieuwe sleutel voor hetzelfde serviceaccount en verwijder daarna de oude.

IP-allowlisting

Je kunt een API-sleutel beperken zodat deze alleen werkt vanaf specifieke IP-adressen of CIDR-bereiken. Requests vanaf andere IP-adressen worden geweigerd met een 403-fout.

Ondersteunde indelingen

• Afzonderlijke IPv4-adressen (bijv. 203.0.113.10)
• Afzonderlijke IPv6-adressen (bijv. 2001:db8::1)
• CIDR-bereiken (bijv. 203.0.113.0/24)

Je kunt per API-sleutel 1 tot 100 vermeldingen toevoegen. Losse IP-adressen worden automatisch genormaliseerd naar /32 (IPv4) of /128 (IPv6).

Gelekte sleutels detecteren

ElevenLabs neemt deel aan het partnerprogramma voor secret scanning van GitHub. Als een ElevenLabs API-sleutel wordt gecommit naar een openbare GitHub-repository, stelt GitHub ElevenLabs op de hoogte en wordt de sleutel automatisch uitgeschakeld om ongeautoriseerd gebruik te voorkomen.

Een sleutel die op deze manier is uitgeschakeld, meldt exposed_publicly als disable_reason. Om de toegang te herstellen, roteer je de sleutel en werk je je applicaties bij zodat ze de nieuwe sleutel gebruiken.

Een sleutel zelf uitschakelen

Als je denkt dat een sleutel is gecompromitteerd, kan de houder van de sleutel deze rechtstreeks uitschakelen met het endpoint API-sleutel uitschakelen. Roep dit aan met de queryparameter api_key_name=self, die vereist is als expliciete bevestiging dat je de sleutel wilt uitschakelen die wordt gebruikt om het request te authenticeren.

Beheren wie sleutels kan uitschakelen

De instelling third_party_disable_allowed bepaalt of een sleutel kan worden uitgeschakeld door de houder ervan, via het endpoint voor zelf uitschakelen of automatisch wanneer deze openbaar lekt. Standaard is dit ingeschakeld voor niet-Enterprise-abonnementen en uitgeschakeld voor Enterprise-abonnementen.

Per sleutel: stel third_party_disable_allowed in wanneer je een API-sleutel van een serviceaccount maakt of bijwerkt. Laat deze weg om de standaardinstelling van de workspace te gebruiken, of geef clear door bij een update om een individuele sleutel terug te zetten naar de standaardinstelling van de workspace.

Voor de hele workspace: workspaceadmins kunnen de instelling voor elke sleutel tegelijk overschrijven met het endpoint Beleid voor uitschakeling door derden voor workspace instellen:

• true staat toe dat elke sleutel in de workspace door de houder wordt uitgeschakeld.
• false verbiedt dit voor elke sleutel.
• null verwijdert de override voor de hele workspace, zodat de eigen waarde van elke sleutel en de standaardwaarde van het abonnement weer gelden.