Authentifizierung

Die Claude API unterstützt drei Möglichkeiten, Anfragen zu authentifizieren:

API-Keys und Workload Identity Federation gewähren denselben Zugriff auf Claude API-Endpunkte. Wähle API-Keys, um schnell loszulegen, und wechsle zu Workload Identity Federation, wenn dein Workload bereits eine von der Plattform ausgestellte Identität hat, die du föderieren kannst. Verwende App Attest für iOS- und macOS-Apps, die du an Endnutzer verteilst.



API-Keys

API-Keys sind statische Secrets, die du in der Claude Console generierst und bei jeder Anfrage mitsendest.

• Key erstellen: Gehe zu Einstellungen → API-Keys in der Claude Console. Du wählst beim Erstellen ein Ablaufdatum aus. Verwende Workspaces, um Keys nach Projekt oder Umgebung einzugrenzen.
• Key senden: Setze den x-api-key-Header bei direkten HTTP-Anfragen, oder setze die Umgebungsvariable ANTHROPIC_API_KEY, und die Client-SDKs übernehmen ihn automatisch.

POST /v1/messages
x-api-key: YOUR_API_KEY
anthropic-version: 2023-06-01
content-type: application/json

Speichere API-Keys in einem Secrets-Manager, rotiere sie regelmäßig und widerrufe jeden Key, von dem du vermutest, dass er kompromittiert wurde. Du kannst beim Erstellen eines Keys auch ein Ablaufdatum festlegen, um zu begrenzen, wie lange ein kompromittierter Key nutzbar bleibt.

client = Anthropic(api_key="my-anthropic-api-key")
# oder, wenn ANTHROPIC_API_KEY in der Umgebung gesetzt ist:
client = Anthropic()



Ablauf von Keys

Wenn du einen API-Key auf der API-Keys-Seite in der Claude Console erstellst, wählst du ein Ablaufdatum: eine Voreinstellung (3 Stunden, 1 Tag, 7 Tage oder 30 Tage), eine benutzerdefinierte Dauer oder Nie für Keys, die du in einem Secrets-Manager speicherst und selbst rotierst. Wenn deine Organisation eine Richtlinie für maximale Ablaufzeiten hat, begrenzt die Console die Voreinstellungen und benutzerdefinierten Dauern auf das Richtlinienmaximum, und Nie ist nicht verfügbar. Bestehende Keys behalten ihr aktuelles Verhalten; das Ablaufdatum wird beim Erstellen festgelegt und kann danach nicht mehr geändert werden. Dieselbe Ablaufauswahl gilt, wenn du in der Claude Console einen Admin-API-Key erstellst.

Anthropic sendet dem Ersteller des Keys eine E-Mail, wenn das Ablaufdatum näher rückt: 7 Tage vor Ablauf für Keys, die mit einer Lebensdauer von mindestens 14 Tagen erstellt wurden, und 1 Tag vorher für Keys mit einer Lebensdauer von mindestens 7 Tagen. Keys mit kürzeren Lebensdauern laufen ohne Warn-E-Mail ab.

Nachdem ein Key abgelaufen ist, geben Anfragen, die damit gestellt werden, einen 401 authentication_error zurück. Erstelle einen neuen Key, um den Zugriff wiederherzustellen; abgelaufene Keys können nicht reaktiviert werden.

Die API-Keys-Tabelle in der Console zeigt das Ablaufdatum jedes Keys an, und die Admin-API meldet den expires_at-Zeitstempel jedes Keys auf den Endpunkten List API Keys und Retrieve API Key, sodass du Keys prüfen und rotieren kannst, bevor sie ablaufen. Das Feld ist null für Keys ohne Ablaufdatum.

Ein Ablaufdatum begrenzt die Lebensdauer eines kompromittierten Credentials, ist aber kein Ersatz für sorgfältigen Umgang mit Secrets. Unabhängig vom Ablaufdatum solltest du Keys in einem Secrets-Manager speichern und jeden Key widerrufen, von dem du vermutest, dass er kompromittiert wurde.



Workload Identity Federation

„Workload Identity Federation" (WIF) ermöglicht es einem Workload, sich mit einem kurzlebigen Identity-Token zu authentifizieren, das von einem Identity Provider (IdP) ausgestellt wurde, dem du bereits vertraust, wie AWS IAM, Google Cloud oder einem beliebigen standardkonformen OIDC-Issuer (wie GitHub Actions, Kubernetes-Service-Accounts, SPIFFE, Microsoft Entra ID oder Okta). Der Workload tauscht sein vom IdP ausgestelltes JWT bei POST /v1/oauth/token gegen ein kurzlebiges Claude API-Access-Token ein, und das SDK erneuert dieses Token automatisch, bevor es abläuft. Es gibt keinen sk-ant-api...-String, der erstellt, verteilt oder rotiert werden muss.

Federation entfernt langlebige Claude API-Keys aus deiner Umgebung, was den Schadensradius eines kompromittierten Credentials verringert und es dir ermöglicht, den Zugriff mit denselben IdP-Kontrollen zu verwalten, die du bereits für Cloud-Ressourcen verwendest. Sie garantiert jedoch nicht von sich aus End-to-End-Sicherheit: Die Vertrauenskette ist nur so stark wie die Konfiguration deines Identity Providers, und ein langlebiges Secret einen Schritt weiter oben in der Kette (zum Beispiel ein statisches Cloud-Credential, das IdP-Tokens erstellen kann) kann sie dennoch untergraben. Kombiniere Federation mit den Kontrollen deines Providers, wie IP-Allowlists, MFA und Audit-Logging.

Um Federation zu konfigurieren, erstellst du drei Ressourcen in der Claude Console (einen Service-Account, einen Federation-Issuer und eine Federation-Regel) und richtest dann dein SDK auf die Regel aus. Siehe Workload Identity Federation für die vollständige Einrichtungsanleitung.



App Attest

App Attest authentifiziert iOS- und macOS-Apps, die die Claude API direkt vom Gerät aus aufrufen. Jede Installation beweist mithilfe von Apples App-Attest-Dienst, dass sie ein echter, unveränderter Build einer App ist, die du in der Claude Console registriert hast. Anthropic stellt dem Gerät dann ein kurzlebiges Access-Token aus, das die Nutzung deinem Workspace in Rechnung stellt. Tokens sind auf deinen Workspace beschränkt, laufen nach einer Stunde ab und autorisieren nur Aufrufe der Messages API.

Um deine App zu registrieren und eine Client-ID zu erhalten, siehe App Attest für iOS- und macOS-Apps.



Nächste Schritte