Kortlinks og hemmeligheder direkte fra koden

1. Autentificering

Opret en nøgle på /app/api-keys (ejere og administratorer af arbejdsområdet). Den rå nøgle vises kun én gang, og LinkPilot gemmer kun dens SHA-256-hash. Send den med hver forespørgsel:

Authorization: Bearer lp_live_...

Nøgler er knyttet til et arbejdsområde, så der er ingen tenant-parameter nogen steder. Tilbagekaldte, udløbne, ukendte og forkert formaterede nøgler returnerer alle det samme 401 unauthorized. Nøgler skrives aldrig i logfiler.

Basis-URL: https://khiydxamyihofmtmgvjz.supabase.co/functions/v1/api-v1

2. Ruter

Lister returnerer { data, next_cursor }. Send next_cursor tilbage som cursor for at hente flere. limit er 1 til 100.

3. Eksempler

Opret et link med curl

curl -X POST "https://khiydxamyihofmtmgvjz.supabase.co/functions/v1/api-v1/links" \
  -H "Authorization: Bearer $LINKPILOT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"url":"https://example.com/launch","slug":"launch","tags":["campaign"]}'

Opret en hemmelighed fra JavaScript

const b64u = (b) => btoa(String.fromCharCode(...new Uint8Array(b)))
  .replace(/+/g, "-").replace(///g, "_").replace(/=+$/, "");

// 1. Encrypt locally. This key is generated here and never sent anywhere.
const key = crypto.getRandomValues(new Uint8Array(32));
const iv = crypto.getRandomValues(new Uint8Array(12));
const k = await crypto.subtle.importKey("raw", key, "AES-GCM", false, ["encrypt"]);
const ct = await crypto.subtle.encrypt(
  { name: "AES-GCM", iv, tagLength: 128 },
  k,
  new TextEncoder().encode("staging db password"),
);
const ciphertext = `v1.${b64u(iv)}.${b64u(ct)}`;

// 2. Store the blob. LinkPilot cannot read it.
const res = await fetch("https://khiydxamyihofmtmgvjz.supabase.co/functions/v1/api-v1/secrets", {
  method: "POST",
  headers: {
    Authorization: `Bearer ${process.env.LINKPILOT_API_KEY}`,
    "Content-Type": "application/json",
  },
  body: JSON.stringify({ ciphertext, enc_version: 1, ttl_seconds: 3600 }),
});
if (!res.ok) throw new Error((await res.json()).error.code);
const { secret_url } = await res.json();

// 3. Attach the key. Without this the link can never be opened, by anyone.
const shareUrl = `${secret_url}#k=${b64u(key)}`;

Vis links fra Python

import os, requests

r = requests.get(
    "https://khiydxamyihofmtmgvjz.supabase.co/functions/v1/api-v1/links",
    params={"limit": 20},
    headers={"Authorization": f"Bearer {os.environ['LINKPILOT_API_KEY']}"},
)
r.raise_for_status()
for link in r.json()["data"]:
    print(link["short_url"], "->", link["url"])
print("remaining this hour:", r.headers["X-RateLimit-Remaining"])

Opret et anonymt link uden nøgle

curl -X POST "https://khiydxamyihofmtmgvjz.supabase.co/functions/v1/api-v1/public/links" \
  -H "Content-Type: application/json" \
  -d '{"url":"https://example.com","client_id":"my-cli-0123456789abcdef"}'

Den formelle kontrakt udgives her og ikke i et repository: OpenAPI 3.1-dokumentet, Postman-samlingen og den skrevne reference. Peg din kodegenerator direkte på OpenAPI-URL'en.

4. Sådan gemmes hemmeligheder

Vi vil gerne være præcise her, fordi en API-klient selv har reelt arbejde at gøre: API'et accepterer slet ikke et payload i klartekst.

• Du krypterer, vi gemmer en blob. Send ciphertext (AES-GCM-256, v1.<iv>.<ct>) med enc_version: 1. Sender du payload, bliver kaldet afvist i stedet for at blive accepteret i stilhed.
• Du skal selv tilføje nøglen. Den secret_url, vi returnerer, indeholder ingen nøgle og kan heller ikke gøre det: vi har aldrig set nøglen. Tilføj #k=<base64url key>. Browsere sender aldrig den del af linket, der står efter #, så modtageren dekrypterer lokalt.
• Der er ingen gendannelse. Mister du nøglen, er hemmeligheden væk, både for dig og for os. Sådan virker garantien.
• Destrueres ved læsning, udløb eller tilbagekaldelse. Den gemte chiffertekst overskrives på serveren.
• API'et returnerer den aldrig. Ingen rute sender indhold eller chiffertekst tilbage. Det eneste, der læser den, er modtagerens visningsside, og den registrerer visningen.
• Adgangssætninger (Pro og højere) er en reel anden faktor: de strækkes med PBKDF2-SHA256 og indregnes i nøglen med HKDF, så hverken linket eller adgangssætningen alene kan dekryptere. Send kun passphrase_hash, dvs. SHA-256-hex af den NFKC-normaliserede adgangssætning. Send aldrig selve adgangssætningen, for den er halvdelen af nøglen. Afled nøglen af den samme NFKC-form, så en adgangssætning, der er skrevet på et andet tastatur, stadig åbner hemmeligheden.
• Hvad det ikke dækker. Den, der har hele linket, har også nøglen, så kort udløbstid og sletning efter læsning er stadig vigtige. Vedhæftede filer krypteres på samme måde med en nøgle, der er afledt af det samme link.

Dataformatet er beskrevet i API-referencen, og @uselinkpilot/sdk klarer hele udvekslingen i ét kald, hvis du hellere vil slippe for at skrive det selv. Samme model er beskrevet på siden om sikkerhedsarkitektur.

5. Plangrænser og forespørgselsgrænser

API'et bruger de samme planregler som dashboardet og henter dem samme sted fra, så et bureaus samlede grænser på tværs af arbejdsområder gælder også her. GET /me returnerer de aktuelle tal for dit arbejdsområde. Alle autentificerede svar indeholder X-RateLimit-Limit, X-RateLimit-Remaining og X-RateLimit-Reset.

Sammenlign planer

6. Offentlige ruter uden nøgle

POST /public/links og POST /public/secrets findes til klienter, der ikke kan vise en browserudfordring: CLI'er, MCP-servere og launcheren. De tager et opakt client_id (16 til 64 tegn, genereres én gang pr. installation) og opretter poster i den samme anonyme pulje som de gratis webværktøjer.

• 20 oprettelser pr. klient pr. dag og 60 pr. netværk pr. time, plus puljens egne grænser pr. netværk.
• Den samme screening som alle andre måder at oprette på: trusselsfeeds, Googles opslag af farlige URL'er og planlagte genkontroller.
• Intet eget domæne, ingen egen slug og ingen adgangssætning. Offentlige hemmeligheder slettes altid efter én læsning og udløber inden for 24 timer.
• Svaret indeholder et claim_token, så en bruger, der er logget ind, senere kan knytte posten til et arbejdsområde. Behandl det som loginoplysninger.

7. Fejl

Alle fejl har formen { "error": { "code", "message", "upgrade_url"? } }. Meddelelserne nævner feltet, aldrig dine data. Ressourcer i andre arbejdsområder giver 404, ikke 403.