Authenticatie

Elke aanroep heeft een TerraLab-account nodig, behalve de twee openbare documenten: /v1/openapi.json en /v1/meta/pricing. Je kunt dat op twee manieren meesturen: een API-sleutel voor code, OAuth 2.1 voor agents.

API-sleutels

Gebruik een sleutel voor scripts, back-ends en notebooks, alles wat geen browser kan openen om in te loggen.

1. Log in op terra-lab.ai/login.
2. Open Dashboard, MCP, dan Advanced, API keys.
3. Geef de sleutel een naam, accepteer de API-voorwaarden en klik op Create key.
4. Kopieer hem meteen. Een sleutel begint met tlk_, gevolgd door 48 hexadecimale tekens, en wordt maar één keer getoond: TerraLab bewaart een hash, nooit de sleutel zelf.

Stuur hem mee in de Authorization-header:

curl https://mcp.terra-lab.ai/v1/me \
  -H "Authorization: Bearer $TERRALAB_API_KEY"

Sleutels verlopen niet, en een account kan maximaal 20 actieve sleutels hebben. Trek een sleutel in met Revoke op dezelfde pagina als hij uitlekt of een project eindigt: de volgende aanroep ermee geeft 401. Aanroepen met een sleutel tellen mee voor het account dat hem heeft gemaakt.

Houd sleutels buiten versiebeheer, front-endcode en screenshots. Lees ze uit een omgevingsvariabele of een secret manager.

OAuth 2.1 voor agents

AI-agents loggen in in plaats van een sleutel te gebruiken. Als een agent voor het eerst https://mcp.terra-lab.ai/mcp aanroept zonder token, antwoordt de server met 401 en een WWW-Authenticate-header die naar de metadata verwijst, en de agent opent de TerraLab-login in je browser. Je keurt één keer goed; daarna heeft de agent een token.

De meeste agents regelen dit allemaal zelf: je plakt alleen de server-URL. Zie MCP-server.

Een OAuth-access token werkt ook op de REST API, als Bearer-token in dezelfde header.

Een agent loskoppelen

Dashboard, MCP toont je Connected apps. Met Disconnect trek je de toegang van die app in: de volgende aanroep geeft 401 met access_revoked.