API-sleutels en apps

Met een API-sleutel kan een app, script of AI-assistent namens jou bij je facturen. Je beheert ze bij Instellingen → API & AI. API-sleutels zitten in elk plan.

Een sleutel maken

1. Klik bij API-sleutels op Nieuwe sleutel.
2. Geef hem een naam, zodat je weet waar je hem gebruikt (bijvoorbeeld "Claude Desktop" of "Boekhoudkoppeling").
3. Kies wanneer hij verloopt: over 30 dagen, 90 dagen, 1 jaar of nooit.
4. Klik op Sleutel maken en kopieer de sleutel. Hij begint met efm_.

Je ziet de sleutel maar één keer; wij bewaren alleen een gehashte versie. Kwijt? Trek hem in en maak een nieuwe. Zolang de pagina open is, staat je nieuwe sleutel al ingevuld in de voorbeelden onder Koppel je AI-assistent.

In de lijst zie je per sleutel wanneer hij gemaakt is, wanneer hij voor het laatst gebruikt is en wanneer hij verloopt.

Een sleutel gebruiken

Stuur hem mee in de header van elk verzoek:

curl https://eenfactuurmaken.nl/api/v1/me \
  -H "Authorization: Bearer efm_jouw_sleutel"

Of, als je tool geen Bearer-tokens kan sturen: X-API-Key: efm_jouw_sleutel. Meer bij Authenticatie.

Wat kan een sleutel wel en niet?

Een sleutel heeft dezelfde toegang tot je facturen, klanten, producten en instellingen als jij in de app. Een paar dingen kunnen alleen in de web-app, om je te beschermen als een sleutel uitlekt:

• je IBAN, BIC, tenaamstelling, antwoordadres en standaard betaallink wijzigen;
• je abonnement afsluiten, opzeggen of hervatten;
• beveiliging: wachtwoord, 2FA, passkeys, apparaten, het beveiligingslog en API-sleutels zelf;
• je account verwijderen.

Een sleutel mag 120 verzoeken per minuut doen.

Intrekken

Klik op Intrekken bij een sleutel. Apps die hem gebruiken, hebben direct geen toegang meer. Dit kun je niet ongedaan maken.

Wijzig je je wachtwoord, dan kun je kiezen om tegelijk al je API-sleutels en gekoppelde apps in te trekken.

Behandel een sleutel als een wachtwoord

Zet hem nooit in code die in een browser draait, in een openbare repository of in een gedeeld document. Gebruik een wachtwoordmanager of de secrets-opslag van je server.

Verbonden apps (OAuth)

Koppel je ChatGPT, Claude of een andere AI-app via OAuth (inloggen in plaats van een sleutel plakken), dan staat die app onder Verbonden apps. Je ziet welke app het is en wanneer je hem toegang gaf.

Met Loskoppelen trek je de toegang van die app direct in. De app moet daarna opnieuw toestemming vragen. Meer over OAuth bij MCP-server.