Erste Schritte

Authentifizierung

Jeder Aufruf braucht ein TerraLab-Konto, außer den zwei öffentlichen Dokumenten: /v1/openapi.json und /v1/meta/pricing. Es gibt zwei Wege, das Konto zu übermitteln: einen API-Key für Code, OAuth 2.1 für Agenten.

API-Keys

Nutzen Sie einen Key für Skripte, Back-ends und Notebooks, also überall dort, wo sich kein Browser für die Anmeldung öffnen lässt.

Melden Sie sich unter terra-lab.ai/login an.
Öffnen Sie Dashboard, MCP, dann Advanced, API keys.
Benennen Sie den Key, akzeptieren Sie die API-Bedingungen und klicken Sie auf Create key.
Kopieren Sie ihn sofort. Ein Key beginnt mit tlk_, gefolgt von 48 Hexadezimalzeichen, und wird nur einmal angezeigt: TerraLab speichert einen Hash, nie den Key.

Senden Sie ihn im Header Authorization:

curl https://mcp.terra-lab.ai/v1/me \
  -H "Authorization: Bearer $TERRALAB_API_KEY"

Keys laufen nicht ab, und ein Konto kann bis zu 20 aktive Keys halten. Mit Revoke auf derselben Seite widerrufen Sie einen Key, wenn er geleakt wurde oder ein Projekt endet: Der nächste Aufruf damit antwortet mit 401. Aufrufe mit einem Key zählen zum Konto, das ihn erstellt hat.

Halten Sie Keys aus der Versionsverwaltung, aus Front-end-Code und aus Screenshots heraus. Lesen Sie sie aus einer Umgebungsvariable oder einem Secret-Manager.

OAuth 2.1 für Agenten

KI-Agenten melden sich an, statt einen Key zu nutzen. Wenn ein Agent https://mcp.terra-lab.ai/mcp zum ersten Mal ohne Token aufruft, antwortet der Server mit 401 und einem WWW-Authenticate-Header, der auf seine Metadaten verweist, und der Agent öffnet die TerraLab-Anmeldung in Ihrem Browser. Sie bestätigen einmal; der Agent hält danach ein Token.

Was	Wert
Metadaten der geschützten Ressource	`https://mcp.terra-lab.ai/.well-known/oauth-protected-resource`
Autorisierungsserver	`https://terra-lab.ai`
Server-Metadaten	`https://terra-lab.ai/.well-known/oauth-authorization-server`
Grant	Authorization Code mit PKCE (`S256`), öffentliche Clients
Client-Registrierung	Dynamische Registrierung oder ein Client-ID-Metadatendokument
Scope	`data`
Lebensdauer des Access-Tokens	1 Stunde, erneuert mit einem Refresh-Token, das 30 Tage gilt

Die meisten Agenten erledigen all das selbst: Sie fügen nur die Server-URL ein. Siehe MCP-Server.

Ein OAuth-Access-Token funktioniert auch bei der REST API, als Bearer-Token im selben Header.

Einen Agenten trennen

Dashboard, MCP listet Ihre Connected apps. Disconnect widerruft den Zugriff dieser App: Ihr nächster Aufruf antwortet mit 401 und access_revoked.

Aktualisiert am 2026-10-27