API-authenticatie

De Meirra-API gebruikt authenticatie op basis van een API-sleutel. Elke request moet een geldige sleutel bevatten in de request-header. Sleutels horen bij jouw account en kun je aanmaken, beheren en intrekken vanuit het Developer Dashboard.

API-sleutels zijn unieke identifiers die jouw requests authenticeren. Je kunt meerdere sleutels aanmaken voor verschillende omgevingen of applicaties: • **Productiesleutels** beginnen met `mk_live_` en geven toegang tot echte data met echte kosten • **Testsleutels** beginnen met `mk_test_` en gebruiken sandboxdata zonder kosten Elke sleutel heeft een naam ter herkenning en houdt zijn eigen gebruiksstatistieken bij. Deel je API-sleutels nooit publiekelijk en commit ze niet naar je versiebeheer.

Geef je API-sleutel bij elke request mee in de header `x-api-key`: ```bash curl -X POST https://api.meirra.com/v1/email/verify \ -H "x-api-key: mk_live_jouw_sleutel_hier" \ -H "Content-Type: application/json" \ -d '{"email": "test@example.com"}' ``` Requests zonder geldige API-sleutel krijgen een 401 Unauthorized-respons.

Voor extra beveiliging kun je het gebruik van een API-sleutel beperken tot specifieke IP-adressen. Als er een IP-allowlist is ingesteld, worden requests vanaf andere IP-adressen afgewezen met een 403 Forbidden-respons. Een allowlist instellen: 1. Ga naar Developer Dashboard → API-sleutels 2. Klik op het instellingenicoon van je sleutel 3. Voeg toegestane IP-adressen toe (CIDR-notatie wordt ondersteund) Laat de allowlist leeg om requests vanaf elk IP toe te staan.

Je API-sleutels regelmatig roteren is een goede beveiligingspraktijk. Een sleutel roteren: 1. Maak een nieuwe API-sleutel aan met dezelfde rechten 2. Werk je applicatie bij zodat die de nieuwe sleutel gebruikt 3. Controleer of de nieuwe sleutel correct werkt 4. Trek de oude sleutel in via het Developer Dashboard Ingetrokken sleutels kun je niet terughalen — zorg dus dat je applicaties zijn bijgewerkt voordat je intrekt.

Houd je aan deze richtlijnen om je API-integratie veilig te houden: • **Zet sleutels nooit in clientcode** – API-sleutels horen uitsluitend aan de serverkant • **Gebruik omgevingsvariabelen** – bewaar sleutels in env vars, niet in je code • **Gebruik aparte sleutels per omgeving** – gebruik niet dezelfde sleutel voor dev en productie • **Activeer IP-allowlists in productie** – beperk sleutels tot bekende server-IP's • **Monitor het gebruik regelmatig** – let op onverwachte pieken die op misbruik kunnen wijzen • **Roteer sleutels periodiek** – wissel sleutels elke 90 dagen als voorzorg • **Trek ongebruikte sleutels in** – verwijder sleutels die niet meer nodig zijn