Zugriffskontrolle
Eine deployte Simulation antwortet unter einer öffentlichen URL. Zugriff und Variablen, in der Seitenleiste unter Einstellungen, entscheidet, wer sie aufrufen darf: ein Schlüssel auf der Mock-API, Zugangsdaten für den API-Explorer, eine IP-Freigabeliste über beidem. Dieselbe Seite trägt die Umgebungsvariablen, die die Laufzeit erhält.
Änderungen speichern mit Speichern und greifen beim nächsten Deploy der Simulation; Jetzt bereitstellen sitzt direkt neben dem Hinweis. Eine Organisation kann diese Werte auch einmal für alle ihre Simulationen setzen: Ein Feld mit dem Hinweis Organisationsstandard kommt von dort, und was du an der Simulation setzt, überschreibt es Feld für Feld.
API-Schlüssel
Der API-Schlüssel schützt die Mock-Endpunkte selbst. Mit gesetztem Schlüssel muss jede Anfrage an die Simulation ihn im Header x-mockzilla-api-key tragen; eine Anfrage ohne bekommt einen 401. Bleibt das Feld leer, ist die API offen.
curl "https://api.mockz.io/app/deine-org/deine-sim/petstore/pets" \
-H "x-mockzilla-api-key: dein-schluessel"Der Schlüssel wird gespeichert, wie du ihn eingetippt hast, und lässt sich hinter dem Augensymbol wieder anzeigen: Er schützt Mock-Traffic, keine Produktionsdaten. Die deployte Simulation hält nie den Schlüssel selbst, nur einen Digest davon.
Der API-Explorer: aus, offen oder hinter einem Passwort
Jede Simulation kann unter ihrer URL eine durchsuchbare Oberfläche ausliefern. Ob sie das soll, entscheidest du pro Simulation mit API-Explorer bereitstellen unter Allgemein:
- Du brauchst ihn nicht: Schalte ihn aus. Die Simulation liefert nur die API, ohne UI. Je weniger Türen, desto besser.
- Du nutzt ihn, aber nicht jeder soll: Lass ihn an und setze Basic Auth (Explorer-UI). Der Browser fragt nach Benutzername und Passwort. Die Mock-Endpunkte sind nicht betroffen, Maschinen-Traffic läuft weiter, mit dem API-Schlüssel, falls einer gesetzt ist.
- Jeder mit dem Link darf schauen: Lass ihn an, ohne Zugangsdaten. Das ist der Standard.
Der Explorer ist es wert, ihn zu behalten: Er listet jeden Service und Endpunkt, feuert Anfragen ab und zeigt die Antwort, gibt dir das passende curl-Kommando und lässt dich den letzten Verlauf direkt dort durchsehen.
Siehe Verlauf.
Ein Passwort, das nie gespeichert wird
Das Passwortfeld hat zwei Modi. Passwort speichert, was du eintippst, wie beim API-Schlüssel. Wechsle auf SHA-256-Hash, um stattdessen einen 64-stelligen Digest einzufügen: Die Simulation kann dagegen prüfen, und niemand, wir eingeschlossen, kann das Passwort zurücklesen.
Erzeuge den Digest lokal:
echo -n "dein-passwort" | shasum -a 256IP-Freigabeliste
Die Freigabeliste beschränkt die UI und die Mock-API auf die IPs oder CIDR-Bereiche, die du einträgst; Aufrufer außerhalb bekommen einen 403. Nutze sie, wenn die Simulation nur aus einem Büronetz oder dem Bereich eines CI-Runners antworten soll.
Umgebungsvariablen
Name-Wert-Paare, die der Laufzeit beim nächsten Deploy als einfache Umgebung übergeben werden. Sie werden gespeichert, wie du sie eingibst, ohne Verschlüsselung: Eine Simulation bedient Test-Traffic, ihre Variablen sind also Konfiguration, keine Geheimnisse. Lege Mock-Werte hinein, ein Sandbox-Token für einen Upstream oder ein Feature-Flag, und halte Produktionsgeheimnisse heraus.
Eine Backend-Sandbox nimmt keine Variablen an; ihre Laufzeit konfiguriert das Produkt, und die Seite zeigt nur Zugriff.