API-Schlüssel prüfen: Präfix, Länge und Zeichensatz
Ein Schlüssel ist gültig, wenn er mit dem erwarteten Präfix beginnt, samt Präfix genau 18 Zeichen lang ist und danach nur Buchstaben und Ziffern enthält. Erkennen Sie abgeschnittene, mit Leerzeichen versehene oder falsche Schlüssel rechtzeitig. Kostenlos in Ihrem Browser.
- Kostenlos
- Läuft in Ihrem Browser
- Ohne Anmeldung
- Ihre Daten bleiben auf Ihrem Gerät
Im Browser ausführen – kostenlos
Läuft direkt in Ihrem Browser – kostenlos. Ihre Datei verlässt Ihren Browser nicht und wird an keinen Server übertragen.
Es stellt keine Netzwerkanfrage, authentifiziert sich bei keinem Anbieter und behauptet nicht, dass ein passender Schlüssel aktiv ist. Nutzen Sie die Prüfung, um Kürzungen, versehentliche Leerzeichen, Kopierfehler oder einen Schlüssel aus der falschen Umgebung zu erkennen, bevor eine Zugangsinformation gespeichert oder bereitgestellt wird.
Beschreiben Sie das erwartete Format
Tragen Sie den Kandidaten in <code>key</code> ein und legen Sie die vollständige Erwartung in <code>pattern</code> fest. Das Muster benötigt <code>prefix</code>, <code>length</code> und <code>charset</code>. Die Länge bezeichnet die gesamte JavaScript-Zeichenfolge einschließlich Präfix, nicht nur den geheimen Teil.
Der Zeichensatz gilt für den Abschnitt nach einem korrekt erkannten Präfix. Alternativ können Sie eine Zeichenfolge mit allen erlaubten Zeichen angeben und damit ein anbieterspezifisches Alphabet abbilden. Verwendet ein Anbieter kein Präfix, geben Sie eine leere Zeichenfolge an, lassen das Feld aber bestehen.
Das Muster ist zwingend erforderlich. Die gemeinsame Angabe aller drei Regeln verhindert, dass eine reine Längenprüfung als vollständige Validierung missverstanden wird. Die Obergrenze von 10,000 Zeichen hält die Verarbeitung planbar.
Werten Sie jedes Prüfergebnis einzeln aus
Das oberste Feld <code>valid</code> ist nur wahr, wenn alle drei Prüfungen erfolgreich sind. Der geprüfte Schlüssel selbst wird niemals zurückgegeben. Stimmt das Präfix nicht, untersucht das Werkzeug die gesamte Eingabe, weil sich der Beginn des geheimen Teils nicht zuverlässig erraten lässt.
Mehrere Prüfungen dürfen deshalb gleichzeitig fehlschlagen. Das Ergebnis ist deterministisch und unabhängig von Uhrzeit, Zufall, Anbieterstatus oder Netzwerk. Ein negatives Ergebnis beschreibt nur eine Formatabweichung, keinen widerrufenen oder inaktiven Zugang.
Prüfen Sie Formate an sicheren Übergängen
Die Formatprüfung ist besonders nützlich, bevor ein Schlüssel in einen Konfigurationsspeicher, eine Bereitstellungsvariable, ein Kommandozeilenwerkzeug oder ein Integrationsformular gelangt. Strukturelle Fehler werden erkannt, ohne die Zugangsinformation an den ausstellenden Dienst zu senden. Behandeln Sie eine Übereinstimmung nur als Vorprüfung: Sie beweist weder Existenz und Kontozuordnung noch Berechtigungen, Ablaufstatus oder fehlenden Widerruf.
Dafür ist ein eigener, ausdrücklich autorisierter Authentifizierungsvorgang beim Anbieter erforderlich. Schreiben Sie Schlüssel oder vollständige Eingaben nicht in Protokolle, Analysedaten, Supportfälle oder Fehlerverfolgung. Maskieren Sie in Oberflächen den Kandidaten und zeigen Sie nur Prüffelder und Längen.
Leiten Sie das Muster aus aktueller Anbieterdokumentation ab und überprüfen Sie es nach Formatänderungen erneut.
Anwendungsfälle
Bereitstellungsvariable absichern
Lehnen Sie gekürzte, mit Leerzeichen versehene oder umgebungsfalsche Schlüssel vor der Bereitstellung ab.
Integrationsformular prüfen
Geben Sie genaue Hinweise zu Präfix, Länge und ungültigen Zeichen, ohne sich anzumelden.
Konfigurationsmigration kontrollieren
Bestätigen Sie die erwartete Struktur migrierter Geheimnisse, ohne sie auszugeben.
Häufige Fragen
Was umfasst die Länge?
Sie ist die exakte Länge der gesamten JavaScript-Zeichenfolge einschließlich Präfix und geheimem Teil.
Bedeutet ein gültiges Ergebnis, dass mein Zugangsschlüssel funktioniert?
Nein. Es bestätigt nur die Form des Schlüssels. Ob er existiert, zum richtigen Konto gehört, passende Berechtigungen hat oder abgelaufen beziehungsweise widerrufen ist, kann nur der ausstellende Dienst sagen.
Wird mein Schlüssel bei der Prüfung irgendwohin gesendet?
Nein. Die Prüfung baut keine Netzwerkverbindung auf und kontaktiert den ausstellenden Anbieter nicht. Der Schlüssel selbst erscheint auch nicht im Ergebnis, sodass Sie es zeigen können, ohne das Geheimnis preiszugeben.
Warum schlagen mehrere Prüfungen fehl, obwohl nur das Präfix falsch ist?
Passt das Präfix nicht, kann das Werkzeug nicht wissen, wo der geheime Teil beginnt, und prüft die Zeichen des ganzen Schlüssels. Dadurch kann zum Präfixfehler ein Zeichenfehler hinzukommen, was die eigentliche Ursache leichter erkennen lässt.
Welche Zeichensätze kann ich wählen?
Sie können Buchstaben und Ziffern, nur Kleinbuchstaben und Ziffern, nur Großbuchstaben und Ziffern, Hexadezimal, Hexadezimal in Kleinbuchstaben oder webadressentaugliches Base64 wählen. Alternativ geben Sie die genaue Liste der Zeichen ein, die Ihr Anbieter zulässt.
Verwandte Tools
Für Entwickler — API-Zugang
Alles auf dieser Seite ist auch per API verfügbar. Dieser Abschnitt richtet sich an Teams, die es in ihre eigenen Systeme einbinden möchten; alle anderen nutzen einfach das Tool oben.
Endpunkt
Authentifizierung per Bearer-Token. Ein einziger POST stellt die Aufgabe in die Warteschlange; das Ergebnis erhalten Sie per Webhook oder über einen signierten Link.
Aufruf aus Ihrem Stack
curl -X POST https://api.kit.forhosting.com/security/api-key-format-validate \
-H "Authorization: Bearer $KIT_KEY" \
-H "Content-Type: application/json" \
-d '{"key":"sk_live_Ab3dE5fG7h","pattern":{"prefix":"sk_live_","length":18,"charset":"alphanumeric"}}'const res = await fetch("https://api.kit.forhosting.com/security/api-key-format-validate", {
method: "POST",
headers: {
"Authorization": `Bearer ${process.env.KIT_KEY}`,
"Content-Type": "application/json"
},
body: JSON.stringify({
"key": "sk_live_Ab3dE5fG7h",
"pattern": {
"prefix": "sk_live_",
"length": 18,
"charset": "alphanumeric"
}
})
});
const { task_id } = await res.json();import os, requests
res = requests.post(
"https://api.kit.forhosting.com/security/api-key-format-validate",
headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
json={
"key": "sk_live_Ab3dE5fG7h",
"pattern": {
"prefix": "sk_live_",
"length": 18,
"charset": "alphanumeric"
}
},
)
task_id = res.json()["task_id"]<?php
$res = file_get_contents("https://api.kit.forhosting.com/security/api-key-format-validate", false, stream_context_create([
"http" => [
"method" => "POST",
"header" => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
"content" => '{"key":"sk_live_Ab3dE5fG7h","pattern":{"prefix":"sk_live_","length":18,"charset":"alphanumeric"}}',
],
]));
$task = json_decode($res, true);body := bytes.NewBufferString(`{"key":"sk_live_Ab3dE5fG7h","pattern":{"prefix":"sk_live_","length":18,"charset":"alphanumeric"}}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/security/api-key-format-validate", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)Beispiel-Anfrage
{
"key": "sk_live_Ab3dE5fG7h",
"pattern": {
"prefix": "sk_live_",
"length": 18,
"charset": "alphanumeric"
}
}Beispiel-Antwort
{
"task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
"type": "security.api_key_format_validate",
"status": "queued",
"_links": {
"result": "/tasks/tsk_…/result"
}
}Die API arbeitet asynchron: Sie erhalten sofort eine task_id. Polling ist mit 1 Anfrage pro Sekunde erlaubt.
Preis
Der Preis steht auf der Seite – keine Tokens, keine Credits. Fehlgeschlagene Aufgaben werden nicht berechnet.
Fehler
| HTTP | Code | Bedeutung |
|---|---|---|
401 | unauthorized | Der API-Schlüssel fehlt oder ist ungültig – prüfen Sie den Authorization-Header (Bearer). |
402 | insufficient_balance | Ihr Guthaben reicht für diese Aufgabe nicht aus – Aufladungen verfallen nicht. |
404 | unknown_type | Unbekannter Aufgabentyp – prüfen Sie das Feld „type“ gegen den Katalog. |
429 | rate_limited | Zu viele Anfragen – warten Sie kurz; Polling ist mit 1 Anfrage pro Sekunde erlaubt. |
Technische Hinweise
API-Schlüssel besitzen häufig ein erkennbares Format, auch wenn nur der ausstellende Dienst ihre Gültigkeit bestätigen kann. Dieses Werkzeug prüft das vorgeschriebene Präfix, die exakte Gesamtlänge und die nach dem Präfix zulässigen Zeichen.
Beschreiben Sie das erwartete Format
Verfügbar sind <code>alphanumeric</code>, <code>lowercase_alphanumeric</code>, <code>uppercase_alphanumeric</code>, <code>hex</code>, <code>lowercase_hex</code> und <code>base64url</code>.
Werten Sie jedes Prüfergebnis einzeln aus
Zusätzlich liefert die Antwort <code>has_prefix</code>, <code>length_matches</code> und <code>charset_matches</code> getrennt, damit eine Oberfläche genau auf die notwendige Korrektur hinweisen kann. <code>actual_length</code> und <code>expected_length</code> machen eine Kürzung oder ein zusätzlich eingefügtes Zeichen sichtbar. Bei einem Alphabetfehler führt <code>invalid_characters</code> jedes unzulässige Zeichen einmal in der Reihenfolge seines ersten Auftretens auf.
Prüfen Sie Formate an sicheren Übergängen
Die deterministische Implementierung läuft lokal im Browser; automatisierte Abläufe können die API für $0.002 je Anfrage nutzen.
Technische Fragen
Bedeutet ein gültiges Ergebnis, dass der API-Schlüssel aktiv ist?
Nein. Es bestätigt nur die Übereinstimmung mit dem angegebenen Format und kontaktiert den Anbieter nicht.
Welche benannten Zeichensätze gibt es?
Nutzen Sie alphanumeric, lowercase_alphanumeric, uppercase_alphanumeric, hex, lowercase_hex oder base64url, oder geben Sie erlaubte Zeichen ausdrücklich an.
Wird der API-Schlüssel in der Antwort ausgegeben?
Nein. Die Antwort enthält Prüfdaten und unterschiedliche ungültige Zeichen, wiederholt aber nie den Kandidaten.
Was geschieht, wenn kein Muster angegeben wird?
Die Anfrage schlägt mit invalid_input fehl, weil Präfix, Länge und Zeichensatz erforderlich sind.
Was kostet eine API-Anfrage?
Jede Anfrage kostet $0.002. Dieselbe deterministische Prüfung kann lokal im Browser laufen.