API-Schlüssel und Berechtigungen

Zwei Arten von Schlüsseln

Schlüssel	Erstellt in	Gilt für	Präfix
Workspace-Schlüssel	Settings → API and MCP → New credential	alle Websites oder die, die Sie anhaken	mr_ws_…
Website-Schlüssel	entsteht, wenn sich das WordPress-Plugin oder die Shopify-App verbindet	eine Website	mr_site_…

Nutzen Sie einen Workspace-Schlüssel für Ihre eigenen Skripte und Assistenten, und haken Sie nur die Websites an, die er braucht. Beide Arten stehen unter Settings → API and MCP mit ihrer letzten Nutzung, damit Sie ungenutzte erkennen. Jeder Schlüssel wird nur einmal angezeigt und ist auf 1.200 Anfragen pro Stunde begrenzt.

Scopes

Scope	Erlaubt
sites:read	Website-Übersicht, Werte und Verlauf, Geschwindigkeitsergebnisse, das Portfolio aller Websites des Schlüssels, Audits
issues:read	Probleme mit Belegen, KI-Erklärungen, vorgeschlagene Werte, priorisierte Aktionen
pages:read	gecrawlte Seiten und Befunde pro Seite
search:read	Search-Console-Zusammenfassung und Zeilen
ai:read	KI-Sichtbarkeit, Antwortlücken, Zugriff von KI-Crawlern, llms.txt und Ergebnisse von Agentic Browsing
issues:recheck	eine erneute Prüfung einplanen oder die Agentic-Browsing-Prüfung für eine Seite neu ausführen
audits:run	ein vollständiges Audit starten (Audits lesen braucht sites:read)
actions:apply	Änderungen an SEO-Titel, Beschreibung, Canonical oder noindex, llms.txt und Regeln für KI-Crawler genehmigen, geschrieben über den WordPress-Connector
content:write	wird vom WordPress-Plugin genutzt, um Inhalte zu senden; nicht für Ihre eigenen Skripte

Der Schlüssel, den das WordPress-Plugin oder die Shopify-App nutzt, hat content:write sowie sites:read und pages:read, damit er auch die Werte dieser Website für die eigenen Bildschirme zurücklesen kann.

Einen Schlüssel ändern

Edit am Schlüssel ändert seinen Namen, seine Scopes und, bei einem Workspace-Schlüssel, seine Websites. Der Schlüssel selbst bleibt gleich, also braucht nichts eine neue Kopie. Ein Website-Schlüssel bleibt bei seiner Website. Ein Schlüssel, den das WordPress-Plugin oder die Shopify-App nutzt, behält seinen Namen und die Scopes, die er braucht. Schlüssel, die erstellt wurden, bevor es einen Scope gab (zum Beispiel ai:read oder audits:run), haben ihn nicht: Fügen Sie ihn mit Edit hinzu.

OAuth-Tokens

Wenn ein MCP-Client Sie anmeldet, statt einen Schlüssel zu nehmen (zum Beispiel ChatGPT), ist das Token, das er erhält, ein Workspace-Schlüssel mit den Lese-Scopes, die Sie genehmigt haben. Es erscheint in derselben Liste unter Settings → API and MCP und wird auf dieselbe Weise widerrufen. Schreib-Scopes werden über OAuth nie vergeben.

Widerrufen

Settings → API and MCP → Revoke am Schlüssel. Anfragen damit scheitern ab diesem Moment mit 401. Auch der Schlüssel des WordPress-Plugins lässt sich dort widerrufen; das Plugin zeigt dann „getrennt“ und sendet nichts mehr.