Wählen Sie einen Tarif für die API, die Sie benötigen

Jeder authentifizierte Aufruf, der die Schlüssel- und Origin-Prüfung besteht, zählt als eine Anfrage: ein Besucher-Geolokalisierungsaufruf, jede abgefragte IP, jede geprüfte E-Mail-Adresse, jede Anmeldeprüfung und jede Reiseprüfung. Ein Aufruf, der danach an der Eingabevalidierung scheitert, zählt trotzdem. Aufrufe, die wegen fehlendem oder ungültigem Schlüssel, nicht zugelassenem Origin oder dem Minuten-Ratenlimit abgelehnt werden, zählen nicht — ebenso wenig das Löschen einer Risiko-Baseline oder das Abfragen des Status eines E-Mail-Listenauftrags.

Es handelt sich um ein festes Ein-Minuten-Fenster, ausgerichtet an der Uhrminute — kein gleitender Durchschnitt. Im kostenlosen Tarif können Sie beispielsweise zwischen 10:32:00 und 10:32:59 bis zu 30 Anfragen stellen; der Zähler setzt sich um 10:33:00 auf null zurück. Eine Überschreitung liefert einen HTTP-429-Fehler mit einem Retry-After-Header, der angibt, wie viele Sekunden bis zum Zurücksetzen des Fensters verbleiben. Dies ist unabhängig von Ihrem monatlichen Anfragevolumen weiter unten — es begrenzt die Spitzenrate, nicht die Gesamtnutzung. Das Limit zählt API-Aufrufe, nicht Einträge: Ein Batch mit bis zu 100 IPs oder E-Mail-Adressen oder das Anlegen eines E-Mail-Listenjobs zählt als eine Anfrage — jede darin enthaltene IP oder Adresse wird aber weiterhin einzeln auf Ihr monatliches Anfragevolumen angerechnet.

Wir sperren Ihren Schlüssel nicht automatisch. Wenn Sie dauerhaft nahe am Limit Ihres Tarifs liegen, können Sie jederzeit über Ihr Dashboard upgraden — ohne Änderungen am Code oder API-Schlüssel.

Die Besucher-Geolokalisierung liest Edge-Anfragedaten und leitet regionale Anreicherung lokal ab, was ihre Kosten — und ihren Preis — deutlich unter den vergleichbaren Stufen der meisten Anbieter hält. Die serverseitige IP-Abfrage ist in denselben Tarif und Preis eingebunden, statt separat verkauft zu werden: Jeder Tarif enthält sowohl ein Anfragekontingent als auch ein IP-Abfragekontingent, beide aus dem gemeinsamen monatlichen Pool dieses Tarifs.

Antworten der Besucher-Geolokalisierung und der IP-Abfrage enthalten regionale Anreicherung, sofern Quelldaten verfügbar sind. Berechtigte Tarife enthalten zusätzlich listenbasierte Sicherheitsindikatoren. E-Mail-Prüfungen liefern ein separates Ergebnis auf Domain-Ebene. Die Latenz hängt von Anfrage und aktivierten Funktionen ab.

Ja. GET /v1/geo bleibt ausschließlich die clientseitige Selbstabfrage des Besuchers und löst die tatsächlich verbindende IP auf. Für die Abfrage beliebiger IPs sind GET /v1/lookup/{ip} (einzeln) und POST /v1/lookup (Batch, bis zu 100 IPs pro Aufruf) Server-zu-Server-Endpoints, authentifiziert mit einem geheimen statt Ihrem veröffentlichbaren Schlüssel — der Schlüssel bleibt in Ihrem Backend und wird nie an einen Browser ausgeliefert. Beide stützen sich auf eine Geolokalisierungsdatenbank eines Drittanbieters statt auf unsere eigenen Echtzeit-Netzwerkdaten, mit einer anderen Antwortstruktur und ohne verifizierte relative Genauigkeitsrangfolge — den genauen Anbieter und die erforderliche Quellenangabe finden Sie unter Datenquellen —, und die Nutzung wird pro abgefragter IP berechnet, aus dem gemeinsamen monatlichen Pool Ihres Tarifs eins zu eins mit einer Geo-Anfrage (siehe das IP-Abfragekontingent Ihres Tarifs oben für die separate Obergrenze der Gesamtabfragen). Da dieser Endpoint IPs abfragt, die Ihr Kunde angibt, statt dass der Besucher selbst aufruft, macht dies Watch-IP zu einem Auftragsverarbeiter dieser Drittdaten in Ihrem Auftrag — was das für Ihre eigenen Compliance-Pflichten bedeutet, entnehmen Sie dem DPA.

POST /v1/risk/check vergleicht den von einem Drittanbieter ermittelten Standort einer angegebenen IP mit einer gespeicherten Nutzer-Baseline und liefert ein Risiko von low/medium/high sowie ein impossibleTravel-Flag. Es verwendet einen geheimen Backend-Bearer-Schlüssel. Kontaktieren Sie uns, um Verfügbarkeit, Bereitstellung und Preise zu bestätigen; eine eigenständige Durchsetzung der Risiko-Tariffamilie und die Checkout-Bereitschaft wurden nicht verifiziert. VPN-Wechsel und mobiles Routing können Fehlalarme verursachen.

Ja. POST /v1/email/validate prüft mit einem veröffentlichbaren, Origin-gebundenen Schlüssel Syntax, bekannte Wegwerf-Domains, ob die Domain einen Mailserver hat, wahrscheinliche Tippfehler und Rollenadressen und liefert ein begründetes Urteil — annehmen, prüfen oder ablehnen. Aus Ihrem Backend prüft POST /v1/email/batch bis zu 100 Adressen pro Aufruf, Listenaufträge verarbeiten bis zu 100.000, und POST /v1/signup/check ergänzt die Netzwerksignale der anmeldenden IP. Jede geprüfte Adresse zählt als eine Anfrage gegen das Monatskontingent Ihres Tarifs (ein Listenauftrag berechnet jede eindeutige Adresse nur einmal). Keine dieser Prüfungen kontaktiert das Postfach; sie bestätigen also weder Existenz noch Inhaberschaft noch Zustellbarkeit eines Postfachs.

Das hängt vom Schlüsseltyp ab. Veröffentlichbare Schlüssel — für GET /v1/geo und POST /v1/email/validate — sind dafür gedacht, im Seitenquelltext zu stehen, wie ein veröffentlichbarer Stripe- oder Google-Maps-Schlüssel; die Zugriffskontrolle ist die Origin-Bindung: Jeder Schlüssel funktioniert nur von den Domains, die Sie registrieren, und CORS wird nur einem passenden Origin gewährt. Geheime Schlüssel — für IP-Abfrage, Massen-E-Mail-Prüfung, Anmelde- und Reiseprüfungen — müssen in Ihrem Backend bleiben und dürfen nie im Browser-Code erscheinen.

Es gibt SDK-Quellpakete für JavaScript/TypeScript, Python, PHP, Go und Flutter/Dart. Prüfen Sie vor der Verwendung die Verfügbarkeit in der jeweiligen Paketregistry und die Endpoint-Unterstützung. GET /v1/geo lokalisiert immer den verbindenden Aufrufer; ein Backend-Aufruf lokalisiert nicht Ihren Website-Besucher. Verwenden Sie für eine angegebene IP die Abfrage mit geheimem Schlüssel.

Ja, aber es ist optional (Opt-in): Fügen Sie der Anfrage ?include=hostname hinzu (oder im SDK include: ["hostname"]), und die Antwort erhält ein hostname-Feld, ermittelt über eine DNS-over-HTTPS-PTR-Abfrage. Es ist null, wenn kein PTR-Eintrag vorliegt. Anders als die oben genannten, stets aktiven Anreicherungsfelder führt dies eine echte Netzwerkabfrage innerhalb der Anfrage durch, weshalb es standardmäßig deaktiviert ist, statt jedem Aufruf Latenz hinzuzufügen.

Berechtigte Tarife enthalten die listenbasierten Kennzeichen isVpn, isTor, isDatacenter, isThreat und isSanctionedNetwork sowohl in Antworten der Besucher-Geolokalisierung als auch der IP-Abfrage; Free enthält keine Sicherheitsdaten. IPv4 unterstützt Listen- und ASN-Abgleich. IPv6 unterstützt VPN-, Rechenzentrums- und Bedrohungsbereiche sowie ASN-Abgleich, hat aber keine Tor-Abdeckung. Die Abdeckung im Produktivbetrieb hängt von den verfügbaren Feeds ab. False bedeutet keinen Treffer in den verfügbaren Daten, keine Sicherheitsgarantie; diese Signale sind kein verbindliches Sanktions-Screening.

Ja — jede Antwort enthält ein compliance-Objekt: isGDPR (EU/EWR + Vereinigtes Königreich), usPrivacyLaw (das anwendbare US-Bundesstaatengesetz, z. B. CCPA/CPRA oder VCDPA, anhand des Bundesstaats des Besuchers), isLGPD (Brasilien), ein abgeleitetes requiresCookieConsent-Flag, eine grobe dataResidencyZone und isEmbargoedCountry (umfassende OFAC-Länderembargos). Es ist bei jedem Tarif ohne zusätzliche Kosten enthalten, genau wie Währung und Landesvorwahl. Es ist ein erster Rechtsraum-Hinweis, berechnet aus dem Standort des Besuchers, keine Rechtsberatung — bestätigen Sie Compliance-Anforderungen immer mit Ihrer eigenen Rechtsberatung.

Ja — jede Antwort enthält ein locale-Objekt: suggestedLocale ist ein BCP47-Locale, das das Land des Besuchers mit dem eigenen Accept-Language-Header seines Browsers kombiniert und dabei eine dort tatsächlich gesprochene Sprache bevorzugt (ein Accept-Language von „fr“ bei einem kanadischen Besucher ergibt beispielsweise „fr-CA“, nicht „fr-FR“), und auf das Standard-Locale des Landes zurückfällt, wenn nichts im Header passt. Dasselbe Objekt enthält außerdem measurementSystem (metrisch/imperial), firstDayOfWeek und dateFormat, sodass Sie regionale Formatierungskonventionen nicht selbst neu ableiten müssen. Es ist bei jedem Tarif ohne zusätzliche Kosten enthalten.

Ja — jede Antwort enthält ein holiday-Objekt: isPublicHolidayToday, todayHolidayName und nextHoliday (Datum und Name) für das Land des Besuchers, berechnet aus einer kuratierten statischen Tabelle (derzeit rund 40 Länder — G20 sowie EU/EWR und das Vereinigte Königreich), die von Nager.Date stammt und manuell ein- bis zweimal jährlich aktualisiert wird, statt zur Anfragezeit berechnet zu werden. Für Länder außerhalb dieser Liste ist es null, und es zählt nur landesweite Feiertage, nicht nur regionale oder bundesstaatliche Feiertage. Bei jedem Tarif ohne zusätzliche Kosten enthalten; weitere Länder können auf Anfrage ergänzt werden.

Statische Zuordnungen liefern Hinweise zu Alter und Rechtsraum basierend auf dem ungefähren IP-Standort. Sie überprüfen weder Identität noch Alter; bestätigen Sie geltende Anforderungen unabhängig davon.