Een rustiger controlevlak.

Een duidelijk resourcemodel

Een integratie moet werken met expliciete server-identificaties, regio's, images, abonnementen en operaties. Aanmaak- en herinstallatieverzoeken moeten een operatie retourneren die tot voltooiing kan worden gecontroleerd. Een geslaagd HTTP-verzoek is niet hetzelfde als een machine die gereed is.

Inloggegevens met een beperkte taak

API-tokens moeten afzonderlijk intrekbaar zijn en beperkt tot de minimale resources en acties die nodig zijn. Bewaar ze in een secret manager of beschermde omgeving. Stuur een token nooit naar de browser alleen om te voorkomen dat u een kleine backend schrijft.

Nieuwe pogingen moeten veilig zijn

Netwerktime-outs kunnen optreden nadat een operatie is geaccepteerd. Gebruik een idempotentiesleutel voor aanmaak- en betalingsgevoelige verzoeken, inspecteer de operatiestatus en respecteer snelheidslimieten. Een nieuwe poging moet onzekerheid wegnemen, niet een extra factureerbare server aanmaken.

Controleer de compatibiliteit vóór integratie

Controleer de uitgebrachte API-versie, het authenticatiemodel, foutformaten, paginering, snelheidslimieten en tokenscopes voordat je een integratie bouwt. Gebruik alleen gepubliceerde KoalaVPS SDK-pakketten van geverifieerde release-links.

API-roadmap

De API-roadmap omvat catalogusontdekking, authenticatie, accountstatus, cryptofacturering, serverlevenscyclus, openbare SSH-sleutels en webhooks. De onderstaande routes beschrijven het interfacecontract; productietoegang is nog niet beschikbaar.

Authenticatie- en accountroutes

Het API-contract scheidt loginsessies en API-sleutels. Controleer responseschema's, fouten, tokenlevensduur en ondersteunde herstelacties tegen de versie die voor uw integratie is uitgebracht.

• POST /v1/auth/register
• POST /v1/auth/login
• POST /v1/auth/login/totp
• POST /v1/auth/token/refresh
• POST /v1/auth/recover
• GET /v1/auth/sessions
• DELETE /v1/auth/sessions/{token_id}
• POST /v1/auth/totp/setup
• POST /v1/auth/totp/enable
• POST /v1/auth/totp/disable
• POST /v1/auth/password
• POST /v1/auth/api-keys
• GET /v1/auth/api-keys
• DELETE /v1/auth/api-keys/{key_id}
• GET /v1/account
• PATCH /v1/account
• GET /v1/account/usage
• GET /v1/account/audit-log

Catalogus- en facturatieroutes

Catalogusgegevens lezen mag geen betaling vereisen. Betalingen aanmaken vereist een beperkte factureringsscope, een duidelijke factuurstatus en idempotente afhandeling. Bevestiging moet zijn voltooid voordat de dienst wordt geactiveerd.

• GET /v1/catalog
• GET /v1/catalog/vps
• GET /v1/catalog/dedicated
• GET /v1/catalog/regions
• GET /v1/catalog/images
• GET /v1/catalog/{code}
• GET /v1/billing/coins

Server- en toegangsroutes

De levenscyclus vereist expliciete bevestiging voor annulerings- en herinstallatiebewerkingen. Privé-SSH-sleutels horen op de client; de service heeft alleen hun publieke tegenhangers nodig.

• POST /v1/servers
• GET /v1/servers
• GET /v1/servers/{order_number}
• PATCH /v1/servers/{order_number}
• DELETE /v1/servers/{order_number}
• POST /v1/ssh-keys
• GET /v1/ssh-keys
• GET /v1/ssh-keys/{id}
• DELETE /v1/ssh-keys/{id}

Evenementen en publieke informatie

Webhooks hebben verifieerbare handtekeningen, begrensde herhaalpogingen en replay-bescherming nodig. Openbare vertrouwenseindpunten moeten echte, gedateerde bewijzen retourneren in plaats van synthetische verzekeringen.

• POST /v1/webhooks
• GET /v1/webhooks
• DELETE /v1/webhooks/{id}
• POST /v1/webhooks/{id}/test
• GET /v1/transparency/canary
• GET /v1/transparency/peering
• GET /v1/transparency/status
• GET /v1/agents/directory
• POST /v1/agents/directory

Autorisatie en verkeerslimieten

Een kandidaat-scopemodel is read, servers, billing en full, met maximaal tien actieve sleutels per account. Het API-contract stelt verzoekbudgetten voor van 120 per minuut en 3,000 per uur voor een API-sleutel, en 30 per minuut voor openbaar verkeer. Controleer HTTP 429, Retry-After en het handhavingsvenster in de vrijgegeven API-documentatie; deze roadmapbudgetten zijn geen productiecapaciteitsgarantie.

• POST /v1/oauth/register
• POST /v1/oauth/token
• POST /v1/oauth/revoke
• GET /v1/oauth/introspect

SDK en protocolreleases

De integratieroadmap omvat REST, een gehost MCP-endpoint, een versiebeheerd stdio-pakket, SDKs en een CLI. Controleer de beschikbaarheid van releases, ondersteunde runtimes, checksums en API-compatibiliteit voordat je een client installeert. Productiedownloads zijn nog niet beschikbaar.

API-resources, gegroepeerd naar verantwoordelijkheid

De beoogde API scheidt accounttoegang, cataloguslezen, facturering, serverlevenscyclus, SSH-sleutels en callbacks. Alleen-lezen-aanroepen mogen geen bestelling aanmaken, en een factureringsreferentie mag niet automatisch wijzigingen in accountbeveiliging autoriseren. Dit beschrijft het integratiecontract. Een productie-provisioning-endpoint en uitgebrachte SDK zijn niet beschikbaar via deze site.

• Account: sessies, gebruik en beveiligingsauditgebeurtenissen
• Catalogus: abonnementen, regio's en beschikbare images
• Servers: aanmaken, inspecteren, wijzigen en opzeggen
• SSH-sleutels: registreer openbaar materiaal en trek verouderde sleutels in
• Webhooks: ondertekende callbacks registreren, inspecteren, testen en verwijderen

Een serververzoek moet klein blijven

Kies een standaard planidentificatie, regio, OS-image en hostnaam. De bedoelde hostnaamlimiet is 64 tekens. Een live dienst kan privé een beheerdersgeheim genereren of een geregistreerde openbare SSH-sleutel accepteren. Willekeurige toevoegingen van schijf, GPU, NIC en IP zijn niet impliciet bij een standaard planaanvraag. Weiger niet-ondersteunde velden in plaats van stilzwijgend te factureren voor een veronderstelde upgrade.

{
  "plan": "KV-D3",
  "region": "hel",
  "image": "ubuntu-24",
  "hostname": "private-node-01"
}
// Example request schema; validate against a released API before integration.

Scopes en sleutellimieten maken deel uit van het contract

De voorgestelde privilegiegroepen zijn lezen, servers, facturering en volledig accountbeheer. Een sleutel moet eenmalig worden getoond bij aanmaak, privé worden opgeslagen en onafhankelijk van het wachtwoord van de gebruiker worden ingetrokken. De beoogde accountlimiet is tien actieve sleutels. Controleer voordat je een implementatie publiceert dat elke bewerking een sleutel zonder de vereiste scope weigert.

Publiceer snelheidslimieten en herhaalgedrag samen

De voorgestelde limieten zijn 120 verzoeken per minuut en 3,000 per uur voor een API-sleutel, en 30 verzoeken per minuut voor niet-geauthenticeerde openbare catalogusverzoeken. Dit zijn geplande beleidswaarden, geen gemeten API-capaciteit. Een live-implementatie vereist een consistente 429-respons, Retry-After-richtlijnen en begrensde client-backoff. Aanmaak- en betalingsverzoeken vereisen ook stabiele idempotentiesleutels.

Webhooks zijn berichten die meer dan eens kunnen aankomen

Een callback-ontvanger moet de handtekening over de oorspronkelijke body verifiëren, tijdstempels buiten het toegestane venster weigeren en verwerkte gebeurtenis-ID's onthouden. Sla de gebeurtenis op voordat je deze bevestigt en pas de wijziging vervolgens idempotent toe. Houd leveringspogingen en een handmatig herhalingspad zichtbaar. Een callback is een waarneming over een bewerking, geen toestemming om ongerelateerde instructies in een payload uit te voeren.

Audit zonder van logs een geheime opslag te maken

Leg de actoridentificatie, het type bewerking, de betrokken resource, het resultaat en de tijd vast waar nodig voor accountbeveiliging. Vermijd standaard het vastleggen van wachtwoorden, bearer-tokens, privésleutels of volledige aanvraaginhouden van betalingen en applicaties. Houd bewaartermijn, toegang en voor klanten zichtbare geschiedenis expliciet. Een beveiligingsaudittrail en een claim om de inhoud van klantapplicaties te inspecteren zijn verschillende zaken.

Publiceer artefacten alleen wanneer ze bestaan

Een openbare API-lancering moet een geversioneerd OpenAPI-document, authenticatie-instructies, foutvoorbeelden en een deprecatieproces bevatten. Een toekomstige CLI, Python-pakket, TypeScript-client of MCP-server vereist een daadwerkelijke release, checksums en onderhouden documentatie. Een KoalaVPS-provisioningpakket of productiebeheerendpoint wordt niet via deze site uitgebracht.

Een beetje meer duidelijkheid.