Watch-IP

Authentifizierung

Watch-IP verwendet zwei Schlüsseltypen, je nachdem, welchen Endpoint Sie aufrufen — einen browsersicheren veröffentlichbaren Schlüssel für clientseitige Aufrufe und einen serverseitigen geheimen Schlüssel für Backend-Aufrufe. Der falsche Typ liefert 401 oder 403, niemals eine teilweise Antwort.

Veröffentlichbare Schlüssel (browsersicher)

Wird für GET /v1/geo und POST /v1/email/validate verwendet — beide sind dafür ausgelegt, direkt aus dem Browser eines Besuchers aufgerufen zu werden. Senden Sie ihn als X-Api-Key-Header (GET /v1/geo akzeptiert als Fallback auch einen key-Abfrageparameter). Er ist kein Geheimnis: Er erscheint im JavaScript Ihrer Seite, und die eigentliche Kontrolle ist die für den Schlüssel konfigurierte Liste erlaubter Origins, die gegen den Origin/Referer-Header der Anfrage geprüft wird. Eine Anfrage von einem nicht in dieser Liste enthaltenen Origin erhält einen 403 ohne gesetzten CORS-Header — der Browser blockiert die Antwort, bevor Ihr Code sie überhaupt sieht, und das ist die tatsächliche Durchsetzung, nicht der JSON-Fehlertext.

Veröffentlichbarer Schlüssel

curl https://api.watch-ip.com/v1/geo \
  -H "X-Api-Key: YOUR_PUBLISHABLE_KEY"

Geheime Schlüssel (nur serverseitig)

Wird für GET /v1/lookup/{ip}, POST /v1/lookup und POST /v1/risk/check verwendet — allesamt Server-zu-Server-Endpoints ohne Browser-Origin zu prüfen. Senden Sie ihn nur von Ihrem eigenen Backend aus als Authorization: Bearer YOUR_SECRET_KEY; betten Sie einen geheimen Schlüssel niemals in eine Seite, ein Mobile-App-Paket oder einen Client ein, den Sie nicht kontrollieren. Die Verwendung eines veröffentlichbaren Schlüssels auf einer Route für geheime Schlüssel oder umgekehrt liefert 403.

Geheimer Schlüssel

curl https://api.watch-ip.com/v1/lookup/203.0.113.1 \
  -H "Authorization: Bearer YOUR_SECRET_KEY"

Ratenbegrenzung

Jeder Schlüssel wird pro Kundenkonto in einem festen Ein-Minuten-Fenster ratenbegrenzt, das über alle von Ihnen aufgerufenen Endpoints geteilt wird, statt pro Route verfolgt zu werden. Eine Überschreitung liefert 429 — siehe Fehler und Ratenbegrenzungen für die Form der Antwort und wie Sie sich zurückhalten sollten. Die Ratenbegrenzung pro Minute zählt HTTP-Aufrufe, nicht Einträge: Ein Batch mit bis zu 100 IPs oder E-Mail-Adressen zählt als eine Anfrage, während jeder Eintrag weiterhin einzeln auf das monatliche Anfragekontingent angerechnet wird.

Benutzerdefinierte Domains

Die Tarife Growth und Scale enthalten im Dashboard einen Einrichtungspfad für eine benutzerdefinierte Domain, sodass Anfragen an einen Hostnamen Ihrer eigenen Domain statt an api.watch-ip.com gehen können. Die Verfügbarkeit hängt von der Kontoberechtigung und der erfolgreichen DNS-/SSL-Einrichtung ab — richten Sie Ihre Integration auf die Basis-URL, die Ihr Dashboard als aktiv bestätigt.

Verwandte Seiten