API-tokens en scopes
Een token is een sleutel waarmee een programma of AI-assistent namens u werkt: via de REST API of de MCP-server. U maakt tokens zelf aan op Integrations > API tokens. Alles wat een token doet, staat op Activity onder uw naam, met de naam van het token erbij.
Een token aanmaken
Section titled “Een token aanmaken”- Geef het token een naam die zegt wat het gaat gebruiken (“Claude Desktop op mijn laptop”, “GitHub Actions webshop”).
- Kies de geldigheid: 1 jaar (standaard), 90 dagen of 30 dagen. Daarna werkt het token niet meer; maak dan een nieuw token.
- Vink de scopes aan: de rechten van het token. De vooraf aangevinkte set is bedoeld voor een AI-assistent (zie hieronder).
- Optioneel: Only from these networks. Vul een of meer netwerken in (
203.0.113.0/24, 198.51.100.7); het token werkt dan alleen vanaf die adressen. Laat dit leeg voor een assistent die vanuit de cloud werkt. - Klik op Create token. Het token (
hdd_...) wordt één keer getoond. Kopieer het meteen naar uw wachtwoordmanager of de configuratie van uw assistent.
Scopes
Section titled “Scopes”Een scope is één recht, met een vaste naam. Een token kan nooit meer dan uw eigen account, en nooit tokens of gebruikers beheren. De scopes liggen vast bij het aanmaken: wilt u er een toevoegen, maak dan een nieuw token.
| Scope | Recht |
|---|---|
overview.read |
Het overzicht lezen |
containers.read |
Containers opvragen |
containers.control |
Containers starten, stoppen en herstarten |
containers.logs |
Logboeken van containers lezen |
jobs.read |
Taken en hun uitvoer lezen |
stacks.read |
Stacks, compose-bestanden, variabelen en revisies lezen |
stacks.compose.write |
Compose-bestanden wijzigen |
stacks.env.write |
Variabelen wijzigen |
stacks.settings.write |
Instellingen (sjabloonvelden) wijzigen |
stacks.deploy |
Stacks uitrollen, stoppen en images ophalen |
stacks.autoupdate |
De nachtelijke update aan- of uitzetten |
stacks.revisions.restore |
Revisies terugzetten |
source.read |
De git-bron van een stack lezen |
source.manage |
De git-bron wijzigen, pinnen, broncode uploaden |
webhooks.manage |
Deploy-webhooks beheren |
access.entries.manage |
Toegangslijsten beheren |
sites.read |
Sites en hun bestanden lezen |
sites.manage |
Sites beheren en content uploaden |
sites.restore |
Vorige versies van sites terugzetten |
backups.read |
Back-ups lezen |
backups.manage |
Back-ups beheren en nu starten |
alerts.read |
Meldingen lezen |
alerts.test |
Testmeldingen sturen |
alerts.channels.client.manage |
Uw eigen meldingskanalen beheren |
certificates.read |
Certificaten lezen |
certificates.manage |
Certificaten aanvragen en uploaden |
registries.read |
Registry-logins opvragen |
registries.manage |
Registry-logins beheren |
De aanbevolen set
Section titled “De aanbevolen set”De vooraf aangevinkte scopes laten een assistent alles lezen, stacks en containers bedienen en sitecontent beheren, maar niet aan inloggegevens, meldingskanalen of certificaten komen:
overview.read, containers.read, containers.control, containers.logs, jobs.read, stacks.read, stacks.compose.write, stacks.env.write, stacks.settings.write, stacks.deploy, stacks.revisions.restore, source.read, sites.read, sites.manage, sites.restore, backups.read, alerts.read, certificates.read.
Voor een script dat alleen uitrolt volstaat stacks.read plus stacks.deploy plus jobs.read. Voor een script dat een website uploadt: sites.read, sites.manage en sites.restore.
Grenzen
Section titled “Grenzen”- Per token geldt een limiet van 120 verzoeken per minuut (upload-operaties tellen niet mee). Daarboven antwoordt de server met 429.
- Het IP-filter van het portaal geldt niet voor tokens. Wilt u die bescherming toch, bind het token dan aan uw netwerken.
- Een token werkt tot de vervaldatum of tot u het intrekt. Wordt uw account uitgeschakeld, dan vervallen al uw tokens meteen.
Intrekken
Section titled “Intrekken”Op dezelfde pagina staat achter elk token Revoke. Wat het token nog gebruikt, is daarna meteen buitengesloten. Trek een token in zodra u twijfelt of het is gelekt, en maak een nieuw aan; een token vervangen kost een minuut.
Technici van HD Services zien de tokens van klanten (niet de sleutel zelf, wel naam, scopes en laatste gebruik) en kunnen ze intrekken bij een incident. U ziet dat dan in uw eigen lijst.
Gekoppelde apps
Section titled “Gekoppelde apps”Assistenten die via uw browser inloggen (claude.ai, ChatGPT) gebruiken geen token. Ze staan op dezelfde pagina onder Connected apps, met de rechten die u ze gaf, en Disconnect trekt de koppeling in. Zie Inloggen vanuit claude.ai en ChatGPT.