Persönliche API-Tokens ermöglichen es einem angemeldeten CMS-Benutzer, Arbeit an eine KI oder ein Operator-Tool zu delegieren, ohne ein Passwort weiterzugeben oder eine installationsweite Berechtigung zu erteilen. Die KI fungiert als dieser Benutzer: Jede Anfrage wird durch die Token-Einstellungen und dem aktuellen CMS-Zugriff des Benutzers begrenzt.

Persönliche Token schließen bewusst Systemaktualisierungen, Sicherungen, Wartung, Plugins, eingebettete Anwendungen, Domänen, physische Site-/Seitenressourcen und Administrator-Rendering auf Installationsebene aus. Ein Superadministrator, der diese Vorgänge automatisieren muss, muss ein separates System-API-Token erstellen. Dadurch wird verhindert, dass ein persönlicher Assistent stillschweigend zum Installationsbetreiber wird.

A Der persönliche Token kann nur dann einen Vorgang ausführen, wenn alle diese Prüfungen erfolgreich sind:

1. Der Token ist aktiv und nicht abgelaufen.
2. Der Besitzer ist immer noch ein aktiver CMS-Benutzer.
3. Die angeforderte Funktion wird auf dem Token ausgewählt.
4. Die aktuelle Rolle des Besitzers lässt diese Funktion weiterhin zu.
5. Die Zielsite wird auf dem Token ausgewählt und bleibt für den Eigentümer zugänglich.
6. Der aktuelle Workflow-Status der Seite ermöglicht es dem Eigentümer, die angeforderte Änderung vorzunehmen.
7. Die Anfrage kommt von einem zugelassenen Netzwerk, wenn eine IP-Zulassungsliste konfiguriert ist.
8. Die tokenspezifischen und installationsweiten Anforderungslimits wurden nicht überschritten.

Änderungen der Rolle, Site-Zuweisungen oder des aktiven Status eines Benutzers werden bei der nächsten API-Anfrage wirksam. Ein Token behält niemals die Autorität, die sein Besitzer verloren hat.

Das Token-Formular zeigt nur Funktionen an, die der aktuelle Benutzer delegieren kann. Die Auswahl einer Fähigkeit ist eine Obergrenze und keine Möglichkeit, die Rolle zu umgehen.

1. Öffnen Sie Profile und wählen Sie Manage API Tokens aus.
2. Geben Sie einen Namen ein, der den Kunden oder Job identifiziert.
3. Wählen Sie die Websites aus, die die KI erreichen darf.
4. Wählen Sie nur die Fähigkeiten aus, die der Job benötigt.
5. Wählen Sie einen Ablaufzeitraum.
6. Legen Sie das Anforderungslimit neben der Ablaufkontrolle unterhalb der Auswahl der zulässigen Site fest. Konfigurieren Sie optional eine IP-Zulassungsliste unter Netzwerkkontrollen.
7. Wählen Sie Token erstellen.
8. Kopieren Sie den Token sofort. Sein einfacher Wert wird nur einmal angezeigt.

Das Erfolgsfenster bietet die API-Basis-URL, ein Beispiel für eine Umgebungsvariable und eine kopierfertige Eingabeaufforderung für die KI-Einrichtung. Geben Sie das Geheimnis nur an das vorgesehene Werkzeug weiter und bewahren Sie es im Geheimspeicher dieses Werkzeugs auf.

• Edit ändert den Namen, die ausgewählten Sites, die Funktionen, den erneuten Ablauf, die IP-Zulassungsliste und die Anforderungsobergrenze, ohne das Geheimnis preiszugeben oder zu ersetzen.
• Activity zeigt die letzten zehn Anfragen: Ergebnis, Zeit, Methode, Pfad ohne Abfragezeichenfolge, Route, erforderliche Fähigkeit, IP und einen verkürzten Benutzeragenten.
• Revoke verhindert sofort eine weitere Authentifizierung, während das Token und der Aktivitätsverlauf erhalten bleiben.
• Delete entfernt das Token und seinen Aktivitätsverlauf dauerhaft.

Request- und Antworttexte, Abfragezeichenfolgen, Trägerwerte, Token-Hashes und Token-Vorschauen werden niemals in Aktivitätszeilen gespeichert.

Die Zulassungsliste akzeptiert eine genaue IPv4/IPv6-Adresse oder ein CIDR-Netzwerk pro Zeile, zum Beispiel:

Lassen Sie die Liste leer, um jedes Netzwerk zuzulassen. Wählen Sie eine tokenspezifische Obergrenze von 30, 60, 120 oder 300 Anfragen pro Minute. Bestehende Token ohne gespeicherte Obergrenze verbrauchen 60 Anfragen pro Minute. Die installationsweite API-Drosselung gilt weiterhin, daher ist der effektive Grenzwert der niedrigste anwendbare Grenzwert.

Netzwerkprüfungen verwenden die von Laravel aufgelöste Client-IP. Wenn sich der Host hinter einem Load Balancer, Reverse-Proxy oder CDN befindet, konfigurieren Sie die Trusted-Proxy-Behandlung von Laravel für die tatsächlichen Proxy-Adressen und weitergeleiteten Header. Überprüfen Sie die aufgelöste Adresse, bevor Sie eine restriktive Zulassungsliste aktivieren. Vertrauen Sie weitergeleiteten Headern von beliebigen Internet-Clients nicht; Andernfalls könnte ein Anrufer die von der Richtlinie verwendete Adresse fälschen.

Konfigurieren Sie die generierten Werte im vertrauenswürdigen geheimen Speicher des Tools:

Das Tool sollte zuerst GET /webadmin/api aufrufen. Die authentifizierte Erkennung gibt ihre Funktionen, persönliche Netzwerkrichtlinien, OpenAPI- und Leitfaden-Links sowie empfohlene nächste Schritte zurück. Es muss Inhaltspläne validieren, bevor es sie anwendet, und vor der Veröffentlichung oder destruktiven Vorgängen eine ausdrückliche Genehmigung des Benutzers einholen.

Alle API-Fehler sind JSON und enthalten öffentlich sichere Erkennungslinks, sofern verfügbar.

• Erstellen Sie ein Token pro KI, Integration oder begrenztem Job.
• Geben Sie ihm die wenigsten Standorte und Funktionen, die er benötigt.
• Kurzfristen bevorzugen und bewusst erneuern.
• Verwenden Sie eine stabile Egress-IP-Zulassungsliste, wenn die KI-Plattform eine solche bereitstellt.
• Rehen Sie sich die letzten Aktivitäten nach der Ersteinrichtung und nach sensiblen Arbeiten an.
• Recho sofort widerrufen, wenn möglicherweise ein Geheimnis preisgegeben wurde.
• Fügen Sie niemals Token in Tickets, Protokolle, Screenshots, Quellcodeverwaltung oder Eingabeaufforderungen ein, die möglicherweise von unabhängigen Diensten aufbewahrt werden.

Siehe Internal Content API, Benutzer und Berechtigungen und Sicherheit für die zugrunde liegende API, Rolle und Bereitstellung Grenzen.