Authentifizierung

Aktualisiert am 2026-09-18 · Suno-API-Team

Alle Anfragen an Suno-API werden mit einem API-Schlüssel authentifiziert. Diese Seite behandelt die Erstellung, das Senden, die Bedeutung der Fehlerantworten und den sicheren Umgang.

Was ein API-Schlüssel ist

Der Schlüssel ist ein Bearer-Token zu Ihrem Konto. Er trägt Ihr Guthaben, wer ihn hat, kann es ausgeben. Er wird bei der Erstellung nur einmal angezeigt – sofort kopieren und sicher ablegen.

Schlüssel erstellen

1. Registrieren Sie sich auf https://www.suno-api.io – eine E-Mail-Adresse genügt, kein Telefon.
2. Öffnen Sie die Token-Verwaltung in der Konsole.
3. Erstellen Sie einen Schlüssel und kopieren Sie ihn.

Schlüssel haben die Form sk-…. Ein verlorener Schlüssel ist nicht wiederherstellbar: neuen erstellen und den alten löschen.

Schlüssel verwenden

Format des Headers

Senden Sie den Schlüssel bei jeder Anfrage im Authorization-Header:

Authorization: Bearer YOUR_API_KEY
Content-Type: application/json

Beispiel

curl -X POST https://www.suno-api.io/api/music/create \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"description": "ein ruhiges Klavierstück für ein Café"}'

Authentifizierungsfehler

401 Unauthorized

Der Header fehlt, ist fehlerhaft oder der Schlüssel existiert nicht.

{
  "error": {
    "message": "Invalid API key provided",
    "type": "invalid_request_error",
    "code": "invalid_api_key"
  }
}

Prüfen Sie, ob der Header exakt Bearer <Schlüssel> lautet (Leerzeichen nach Bearer) und ob versehentlich ein Zeilenumbruch am Schlüsselende steht.

403 Forbidden

Der Schlüssel existiert, darf diese Anfrage aber nicht ausführen — meist, weil der Schlüssel deaktiviert oder das Konto gesperrt wurde. Prüfen Sie den Kontostatus in der Konsole und wenden Sie sich an den Support, wenn der Grund nicht offensichtlich ist.

Sicherheitsempfehlungen

Schlüssel nicht im Client-Code

Binden Sie den Schlüssel nie in Webseiten, mobile Apps oder Desktop-Binaries ein. Wer die Entwicklertools öffnen kann, liest ihn und gibt Ihr Guthaben aus. Rufen Sie die API vom eigenen Server auf und stellen Sie Ihren Nutzern den eigenen Endpunkt bereit.

Umgebungsvariablen nutzen

Linux / macOS

# ~/.bashrc oder ~/.zshrc
export SUNO_API_KEY="sk-your-key-here"

# Python
import os
api_key = os.environ["SUNO_API_KEY"]

.env

# .env-Datei — in .gitignore aufnehmen
SUNO_API_KEY=sk-your-key-here

Windows

setx SUNO_API_KEY "sk-your-key-here"

Node.js

require('dotenv').config();
const apiKey = process.env.SUNO_API_KEY;

Schlüssel bei Bedarf rotieren

Rotieren Sie Schlüssel alle 3-6 Monate und sofort bei Verdacht auf eine Offenlegung. Löschen Sie Schlüssel, die Sie nicht mehr nutzen: ein ungenutzter Schlüssel ist nur ein ungenutztes Risiko.

Ratenlimit

Anfragen werden pro Schlüssel begrenzt:

429 Too Many Requests

Bei Überschreitung antwortet die API mit 429, und die Antwort kann einen retry_after-Wert in Sekunden enthalten. Warten Sie so lange vor dem nächsten Versuch; drosseln Sie das Tempo, reihen Sie die Arbeit ein oder wiederholen Sie mit exponentiellem Backoff statt in einer engen Schleife.

Wiederholungsstrategie

Wiederholen Sie nur bei eindeutigen Fehlern. Nach einem Lese- oder Verbindungs-Timeout nicht wiederholen: Generierungs-Endpunkte sind synchron, ein Timeout kann also bedeuten, dass die Bestellung schon angenommen wurde und generiert — ein erneuter Versuch erzeugt eine Doppelbestellung und berechnet zweimal. Setzen Sie den Client-Timeout auf 300 Sekunden oder mehr und prüfen Sie nach einem Verbindungsabbruch mit GET /api/music/songs, ob die Bestellung angenommen wurde, bevor Sie sie erneut senden. Siehe „Wartezeiten und Timeout-Einstellungen“ in der Übersicht der neuen API.

Wiederholen Sie mit exponentiellem Backoff statt in einer engen Schleife:

import time

delay = 1.0
for attempt in range(5):
    response = call_api()
    if response.status_code != 429:
        break
    time.sleep(delay)
    delay *= 2

Häufige Fragen

Welches Format hat ein API-Schlüssel?

Er beginnt mit sk-, gefolgt von Buchstaben und Ziffern, insgesamt etwa 50-60 Zeichen.

Kann ich die API direkt im Browser aufrufen?

Technisch ja, produktiv nicht: der Schlüssel wäre für alle Besucher sichtbar. Nutzen Sie ein eigenes Backend als Proxy.

Wie prüfe ich, ob ein Schlüssel noch gültig ist?

Senden Sie eine beliebige authentifizierte Anfrage. 200 heißt gültig, 401 heißt ungültig oder gelöscht.

Ich habe den Schlüssel verloren – was nun?

Schlüssel lassen sich nicht wiederherstellen. Erstellen Sie in der Konsole einen neuen und löschen Sie den alten.

Wie viele Schlüssel pro Konto?

Es gibt keine feste Obergrenze. Nutzen Sie einen Schlüssel pro Anwendung oder Umgebung, damit Sie sie einzeln widerrufen können, und löschen Sie nicht mehr genutzte.

Laufen Schlüssel ab?

Sie bleiben gültig, bis Sie sie löschen oder das Konto schließen. Regelmäßige Rotation bleibt empfehlenswert.

Wie überwache ich die Nutzung?

Melden Sie sich in der Konsole an: dort steht die Nutzung pro Schlüssel mit Anfragen, Ausgaben und letzten Aufgaben.

Verwandte Seiten

• Schnellstart
• Unterstützte Modelle