Authenticatie

Elke request naar /v1 moet een API-key bevatten. Authenticatie gebruikt de standaard Authorization: Bearer …-header.

De header#

POST /v1/responses HTTP/1.1
Host: chat.eugpt.ai
Authorization: Bearer eugpt_AbCdEf01234567890_redacted
Content-Type: application/json

API-keys hebben altijd het prefix eugpt_. Het prefix maakt een gelekte key makkelijk te herkennen in logs en scanners.

Keys aanmaken#

Keys worden beheerd in de EU GPT-webapp:

1. Log in op de URL van de omgeving die je wilt aanroepen (productie: chat.eugpt.ai).
2. Open Settings → API Keys.
3. Klik op Create key. Geef een beschrijvende naam — de lijst is wat je ziet als er om 2 uur ‘s nachts iets stuk gaat.
4. Kopieer de waarde. Hij wordt één keer getoond. Daarna is alleen het prefix nog zichtbaar.

Een key is gebonden aan:

• De gebruiker die hem heeft aangemaakt. De key erft de organisatie-membership, projecten en license-plan van die gebruiker.
• De omgeving die hem heeft uitgegeven. Een staging-key kan productie niet aanroepen; productie-keys kunnen staging of demo niet aanroepen.

Keys roteren#

Er is geen ingebouwde verloopdatum. Roteer door:

1. Een nieuwe key uit te geven in de webapp.
2. De nieuwe key uit te rollen in je applicatie.
3. De oude key in te trekken zodra je hebt bevestigd dat de nieuwe werkt.

Plan rotaties op een cadans die bij je security posture past — eens per kwartaal is een redelijke default voor de meeste teams.

Keys intrekken#

Klik in Settings → API Keys op Revoke in de rij die je wilt uitschakelen. Intrekken is direct. Volgende requests met die key krijgen binnen seconden 401 Unauthorized.

Scoping#

API-keys dragen hetzelfde license-plan als de gebruiker die ze heeft uitgegeven. Dat betekent:

• Tool-beschikbaarheid volgt het plan — bijvoorbeeld, advanced web search vereist Individual Max of hoger.
• Project-membership wordt afgedwongen: een project_id doorgeven voor een project waar je geen toegang toe hebt, geeft 403.

Wat met OAuth of OIDC?#

De web-UI gebruikt OIDC tegen Keycloak. De publieke /v1-API gebruikt by design alleen API-keys — long-lived secrets zijn simpeler voor server-to-server-integratie en key-intrekking is auditable op één plek.

Voor end-user-driven applicaties die per-user identity nodig hebben (bv. een SaaS die toegang verkoopt aan eigen klanten), geef één API-key per organisatie uit en propageer end-user identity door je eigen applicatielaag.

Veelvoorkomende fouten#

De volledige error-referentie staat in Fouten.