poai_ Server-tot-server API-sleutel
- Rechten van het account dat deze aanmaakt (admin: volledig account)
- Nooit in browsercode leveren
- Geen Origin-header nodig
- Geblokkeerd voor MCP
- Kan worden beperkt tot IP-adressen
Authenticatie en sleutels
Een Bearer-token. Elk eindpunt.
Elk product-eindpunt van de PaperOffice-API verwacht de header Authorization: Bearer. Geen OAuth-flow, geen refresh.
Twee token-typen, duidelijke rechten, gedocumenteerde rate-limits.
Een header Geen OAuth-flow Altijd herroepbaar
- Eigen EU-infrastructuur Uw gegevens blijven in Europa.
- ISO/IEC 27001 gecertificeerd Beveiliging gecertificeerd.
- 24+ jaar ervaring Bewezen. Stabiel. Toekomstbestendig.
curl -X POST "https://api.paperoffice.ai/latest/job/add/workflow" \ -H "Authorization: Bearer po_ut_YOUR_API_KEY" \ -F "file_1=@invoice.pdf" \ -F "idp_collection=invoice" \ -F "model=basic-pro-max"import requestsresponse = requests.post( "https://api.paperoffice.ai/latest/job/add/workflow", headers={"Authorization": "Bearer po_ut_YOUR_API_KEY"}, files={"file_1": open("invoice.pdf", "rb")}, data={"idp_collection": "invoice", "model": "basic-pro-max"},)print(response.json())const form = new FormData();form.append("file_1", new Blob([await readFile("invoice.pdf")]), "invoice.pdf");form.append("idp_collection", "invoice");form.append("model", "basic-pro-max");const response = await fetch("https://api.paperoffice.ai/latest/job/add/workflow", { method: "POST", headers: { Authorization: "Bearer po_ut_YOUR_API_KEY" }, body: form,});console.log(await response.json());Eerste aanroep
Header instellen, pipeline kiezen, verzenden
Het pad na /latest/job/add/ is de operatienaam: meestal in handler___command vorm (bijvoorbeeld paperoffice_aiocr___generate), en voor gestructureerde IDP de speciale workflow pipeline.
- Eén header
Authorization: Bearer po_ut_… — meer heeft een product-eindpunt niet nodig. poai_ en po_ut_ sturen geen Origin-header.
- Pipeline in het pad
handler___command met drie onderstrepingstekens; workflow is de uitzondering met een eigen slug. Puntnotatie beantwoordt API met HTTP 400 JOB_CONFIG_INVALID.
- Resultaat of job_id
client_wait is standaard true: De API houdt de verbinding actief en levert het resultaat inline. Als het tijdskader niet toereikend is, wordt HTTP 202 geretourneerd met job_id en poll_url voor GET /latest/job/get/{job_id}.
Voor idp_collection=invoice is basic-pro-max het aanbevolen model. Het daadwerkelijk gebruikte model wordt teruggegeven in het responsveld 'model' en kan afwijken van het gevraagde model.
Token-typen
Twee token-typen, duidelijk gescheiden
Beide behoren tot de server. Ze worden aangemaakt, geroteerd en ingetrokken in de app onder Account → API.
po_ut_ Gebruikersgerelateerd User Token
- Draagt de rechten van zijn gebruiker
- Nooit in browsercode leveren
- Geen Origin-header vereist
- Toegestaan voor MCP
Aanroepen direct vanuit de browser lopen niet via deze twee tokens, maar via de Publishable Key po_pk_ — herkomstgebonden, budget- en ratebeperkt. Publishable Keys bekijken
Machtigingen
Wat een User Token mag doen
Een User Token heeft precies de rechten van zijn gebruiker in deze gebieden. Individuele gebieden kunnen bij het aanmaken niet worden toegekend; voor beperking dient een groeptoken (po_gt_) met de rechten van een gebruikersgroep.
- Documenten
documentsUploaden, Downloaden, Verwerken
- Workspaces
workspacesMappen en structuur beheren
- AI-jobs
ai_jobsOCR, IDP, extractie
- Facturering
billingGebruik en saldo lezen
- Gebruikers
usersTeamleden beheren
- Webhooks
webhooksGebeurtenissen ontvangen
- Kennisbank
knowledge_baseKennisbank en FAQ
- Agenten
agentsIDP-agents configureren
- Workflow
workflowsAutomatiseringen maken
- Naleving
complianceAudit, AVG, archivering
Rate-limits
Wat API telt
Er wordt per token gerekend; zonder Bearer per IP-adres. De volgende waarden zijn de gedocumenteerde minimumwaarden die in elk tarief gelden.
- 5
- Verzoeken per seconde
- 30
- Verzoeken per minuut
- 100
- Verzoeken per uur
- 500
- Verzoeken per dag
- Restwaarden staan in de antwoordheaders
De headers RateLimit-* en X-RateLimit-* van elk antwoord geven aan hoeveel er in het lopende venster nog beschikbaar is.
- Overschrijding: HTTP 429
API antwoordt met RATE_LIMIT_EXCEEDED. Herhaal de aanroep na de tijd uit de Retry-After-header.
- Hogere tarieven verhogen de waarden
Betaalde tarieven liggen boven deze minimumwaarden. Welk tarief welke omvang heeft, staat op de prijspagina.
Beveiliging
Wat een key beschermt
Zes mechanismen die in bedrijf werken — elk met een controleerbare statuscode of een locatie in de app.
- Rotatie en intrekking
Keys worden in de app aangemaakt, weergegeven, geroteerd en ingetrokken onder Account → API. Een ingetrokken token antwoordt met HTTP 401 TOKEN_NOT_FOUND.
- Vervaldatum en geldigheid
Verlopen tokens antwoorden met HTTP 401 BEARERTOKEN_EXPIRED, foutieve met HTTP 401 INVALID_TOKEN. Publishable Keys gelden 180 dagen vanaf creatie.
- Limieten per token
In het Free-tarief gelden rate-limits per token. In betaalde tarieven telt het account; zolang Credits aanwezig zijn, gelden er geen rate-limits.
- Herkomstbinding in de browser
Publishable keys vereisen bij elk verzoek een origin uit de allowlist; anders wordt geantwoord met API met status 403 ORIGIN_HEADER_REQUIRED of DOMAIN_NOT_ALLOWED.
- Gebruik nagaan
Elk gefactureerd antwoord bevat een _billing-blok; de evaluatie per aanroep levert GET /latest/billing/usage-detail op.
- Harde blokkades
Account-login, sleutelbeheer, OAuth, partner-administratie, betalingsmutaties en wachtwoordkraken zijn geblokkeerd voor browser-sleutels. Product-APIs inclusief facturatie-lezen en webhooks zijn toegestaan. Workspace verwijderen, prullenbak legen en Legal-Hold-vrijgave gaan alleen in de app (403 UI_ONLY_ENDPOINT).
Aan de slag
Sleutel aanmaken, header instellen, verzenden
U maakt de sleutel in de app aan onder Account → API. De eerste aanroep wordt stap voor stap beschreven in de Eerste API-aanroep.
Bedrijfsvoering en vertrouwen
Wat enterprise-teams controleren voor het eerste gesprek
Contracten, veiligheid, ondersteuning en limieten, allemaal op één plek gelinkt.
- Veiligheid en naleving ISO/IEC 27001 gecertificeerd, eigen EU-infrastructuur.
- SLA 99,9% Beschikbaarheid per kalendermaand, contractueel gegarandeerd.
- Verwerking namens derden (DPA) Verwerkersovereenkomst volgens art. 28 AVG.
- Geen subverwerkers Eén aanbieder voor engine, opslag en verwerking.
- Technische ondersteuning Directe weg naar het supportteam, met ticket.
- Rate-limieten en headers Gedocumenteerde minimumwaarden per token, RateLimit-header in elk antwoord.
- Prijzen en Credits Transparante Credit-prijzen per aanroep.
Volgende halte
Zo gaat het verder
De aanbevolen volgende stap in de developer-funnel en twee passende vertakkingen.
