From b973178a95fb13e7ce323cf38516464520c20bd5 Mon Sep 17 00:00:00 2001
From: Musiker15 <info@musiker15.de>
Date: Fri, 30 Oct 2026 18:08:20 +0100
Subject: [PATCH 1/2] Document the spam protection and API keys of MSK Paste
 and MSK Shortener

Creating through the API now needs a key, the web form runs Cloudflare
Turnstile and further spam checks, and both tools turn down certain
content (paste: encoded files, link spam, repeats; shortener: own links,
other shorteners, IP hosts, phishing hostnames).

- API pages: authentication with Bearer keys, the new error codes and the
  content or target checks, every example sends the key.
- FAQ: where the key comes from, the daily limits, refusals with 409/422,
  a form that creates nothing without Turnstile keys.
- Usage: the spam protection and the new limits.
- Installation: Node.js 24, the new environment variables, managing keys
  with scripts/api-key.sh, a note for the update.
- Privacy: Cloudflare Turnstile as the only third-party script, how the
  client address is taken, the language cookie is NEXT_LOCALE.
---
 ecosystem/msk-paste/api.md                    | 67 ++++++++++---
 ecosystem/msk-paste/faq.md                    | 19 +++-
 ecosystem/msk-paste/installation.md           | 54 ++++++++++-
 ecosystem/msk-paste/privacy.md                | 36 +++++--
 ecosystem/msk-paste/usage.md                  | 18 +++-
 ecosystem/msk-shortener/api.md                | 76 ++++++++++++---
 ecosystem/msk-shortener/faq.md                | 22 +++--
 ecosystem/msk-shortener/installation.md       | 50 +++++++++-
 ecosystem/msk-shortener/privacy.md            | 38 ++++++--
 ecosystem/msk-shortener/usage.md              | 19 +++-
 .../current/msk-paste/api.md                  | 84 ++++++++++++++---
 .../current/msk-paste/faq.md                  | 40 ++++++--
 .../current/msk-paste/installation.md         | 71 +++++++++++++-
 .../current/msk-paste/privacy.md              | 51 +++++++---
 .../current/msk-paste/usage.md                | 20 +++-
 .../current/msk-shortener/api.md              | 94 +++++++++++++++----
 .../current/msk-shortener/faq.md              | 42 +++++++--
 .../current/msk-shortener/installation.md     | 67 ++++++++++++-
 .../current/msk-shortener/privacy.md          | 53 ++++++++---
 .../current/msk-shortener/usage.md            | 21 ++++-
 20 files changed, 804 insertions(+), 138 deletions(-)

diff --git a/ecosystem/msk-paste/api.md b/ecosystem/msk-paste/api.md
index c19365a..e97cfff 100644
--- a/ecosystem/msk-paste/api.md
+++ b/ecosystem/msk-paste/api.md
@@ -13,7 +13,23 @@ MSK Paste exposes a full JSON REST API. All features available in the web UI are
 
 ## Authentication
 
-There is **no authentication**. All endpoints are public. Write operations (create / delete) are protected by rate limiting and, in the case of deletion, a one-time random delete token.
+Creating a paste through the API needs an API key. Send it as a Bearer header:
+
+```http
+Authorization: Bearer mskp_...
+```
+
+Keys for MSK Paste start with `mskp_`. The operator issues them on the server, there is no sign-up and no self-service. The hosted instance at paste.msk-scripts.de does not issue keys to others; create pastes there through the website. On your own instance you create keys with the key script, see [Installation](installation.md#api-keys).
+
+Without a key, `POST /api/pastes` only accepts requests from the site's own form and answers `401`:
+
+```json
+{ "error": "Creating pastes through the API requires an API key", "code": "api-key-required" }
+```
+
+A wrong or revoked key also gets `401`, with `"code": "api-key-invalid"`.
+
+Everything else works without a key, as before: fetching a paste, unlocking it with `POST /api/pastes/:id/verify`, deleting it with its delete token, and `GET /api/stats`.
 
 ---
 
@@ -24,23 +40,25 @@ All errors share the same shape:
 ```json
 {
   "error": "Human-readable message",
+  "code": "api-key-required",
   "details": {
     "fieldName": ["validation error 1", "validation error 2"]
   }
 }
 ```
 
-`details` is only present on `400 Bad Request` (validation failures).
+`code` names the reason in a fixed, machine-readable form. It comes with the refusals of `POST /api/pastes` for the API key, the limits and the content checks, so scripts should check `code` rather than the message. `details` is only present on `400 Bad Request` (validation failures).
 
 | Status | Meaning |
 |---|---|
 | `400` | Validation failed, see `details` |
-| `401` | Wrong password (on `/verify`) |
+| `401` | Missing or invalid API key (on create), wrong password (on `/verify`) |
 | `403` | Password required (on `/api/pastes/:id`) |
 | `404` | Paste does not exist, has expired, or was burned |
-| `409` | Custom ID is already in use |
+| `409` | Custom ID is already in use, or the same content was pasted within the last 24 hours (`code: "duplicate"`) |
 | `413` | Content exceeds 1 MB |
-| `429` | Rate limit exceeded, see `Retry-After` header |
+| `422` | Content refused by the [content checks](#content-checks) |
+| `429` | Rate limit exceeded, see [Rate limiting](#rate-limiting) |
 
 ---
 
@@ -50,6 +68,7 @@ All errors share the same shape:
 
 ```http
 POST /api/pastes HTTP/1.1
+Authorization: Bearer mskp_...
 Content-Type: application/json
 
 {
@@ -97,6 +116,7 @@ The `deleteToken` is the **only** way to delete the paste later. Save it. It is
 
 ```bash
 curl -X POST https://paste.msk-scripts.de/api/pastes \
+  -H "Authorization: Bearer $MSK_PASTE_KEY" \
   -H "Content-Type: application/json" \
   -d '{
     "content": "print(\"hello\")",
@@ -107,6 +127,16 @@ curl -X POST https://paste.msk-scripts.de/api/pastes \
 
 ---
 
+## Content checks
+
+Every new paste goes through the same checks, whether it comes from the web form or from an API key. A paste is refused when it
+
+- contains an encoded file: an unbroken run of 16 KB of base64 or hex characters, or a paste of 64 KB or more made almost only of wrapped base64 (`422`, `code: "blob"`)
+- is mostly links: 3 or more links that make up at least half of the text, or 3 or more BBCode `[url=` or HTML `<a href=` links (`422`, `code: "links"`)
+- repeats content that was already pasted within the last 24 hours (`409`, `code: "duplicate"`)
+
+---
+
 ## `GET /api/pastes/:id`: fetch a paste
 
 ### Behaviour
@@ -213,29 +243,38 @@ Returns anonymous aggregate numbers shown on the [/stats](https://paste.msk-scri
 
 ## Rate limiting
 
-The create endpoint is limited to **10 requests per hour per IP hash** by default. When exceeded:
+Requests with an API key and requests from the web form are limited separately:
+
+| Sent by | Limit | `code` on `429` | Setting |
+|---|---|---|---|
+| API key | 120 pastes per hour per key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Web form | 10 pastes per hour per IP hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
+| Web form | 20 pastes and 5 MB in total per IP address and 24 hours | `daily-limit` | `DAILY_PASTES_PER_IP`, `DAILY_BYTES_PER_IP` |
+
+Requests with a key are not held to the limits of the web form. When the hourly limit per IP hash is exceeded:
 
 ```http
 HTTP/1.1 429 Too Many Requests
 Retry-After: 1742
 Content-Type: application/json
 
-{ "error": "Rate limit exceeded. Please try again later." }
+{ "error": "Rate limit exceeded", "code": "rate-limit" }
 ```
 
-`Retry-After` is in seconds. Self-hosted instances can change the limit via `RATE_LIMIT_CREATE_PER_HOUR`.
+`Retry-After` is in seconds. Self-hosted instances can change every limit with the settings in the table.
 
 ---
 
 ## Example: command-line uploader
 
-A minimal Bash function to upload a file:
+A minimal Bash function to upload a file. It reads your API key from `MSK_PASTE_KEY`:
 
 ```bash
 mskpaste() {
   local file="$1"
   local lang="${2:-plaintext}"
   curl -sS -X POST https://paste.msk-scripts.de/api/pastes \
+    -H "Authorization: Bearer $MSK_PASTE_KEY" \
     -H "Content-Type: application/json" \
     -d "$(jq -n \
       --arg c "$(cat "$file")" \
@@ -244,7 +283,8 @@ mskpaste() {
     | jq -r '.url'
 }
 
-# Usage:
+# Usage (the key you got from the operator, e.g. set in ~/.bashrc):
+export MSK_PASTE_KEY="mskp_..."
 mskpaste script.lua lua
 mskpaste server.log
 ```
@@ -256,7 +296,10 @@ mskpaste server.log
 ```js
 const res = await fetch('https://paste.msk-scripts.de/api/pastes', {
   method: 'POST',
-  headers: { 'Content-Type': 'application/json' },
+  headers: {
+    'Authorization': `Bearer ${process.env.MSK_PASTE_KEY}`,
+    'Content-Type': 'application/json',
+  },
   body: JSON.stringify({
     content: 'console.log("hi")',
     language: 'javascript',
@@ -272,10 +315,12 @@ console.log(paste.url)
 ## Example: Python
 
 ```python
+import os
 import requests
 
 r = requests.post(
     "https://paste.msk-scripts.de/api/pastes",
+    headers={"Authorization": f"Bearer {os.environ['MSK_PASTE_KEY']}"},
     json={
         "content": "print('hi')",
         "language": "python",
diff --git a/ecosystem/msk-paste/faq.md b/ecosystem/msk-paste/faq.md
index af861a1..810ca4b 100644
--- a/ecosystem/msk-paste/faq.md
+++ b/ecosystem/msk-paste/faq.md
@@ -13,7 +13,7 @@ Yes. The hosted instance at [paste.msk-scripts.de](https://paste.msk-scripts.de)
 
 ### Do I need an account?
 
-No. MSK Paste has no user system by design. The delete token you receive after creating a paste is what allows you to remove it later.
+No. MSK Paste has no user system by design. The delete token you receive after creating a paste is what allows you to remove it later. Creating pastes through the API needs an API key, though, see below.
 
 ### Can I edit a paste after creating it?
 
@@ -45,11 +45,20 @@ No. Every paste is unlisted, knowing the ID is the only way to find a paste. The
 
 ### Where's my API key?
 
-There is no API key. All endpoints are public. Write operations are protected by rate limiting (10 creates per hour per IP hash).
+You get it from the operator. Creating pastes through the API needs a key starting with `mskp_`, and keys are only issued on the server, there is no sign-up or self-service. The hosted instance at paste.msk-scripts.de does not issue keys to others; create pastes there through the website. If you host MSK Paste yourself, create one with `sudo bash /opt/msk-paste/scripts/api-key.sh create "<label>"`, see [Installation](installation.md#api-keys). Fetching, unlocking and deleting with the delete token still work without a key.
 
 ### Why am I getting `429 Too Many Requests`?
 
-You've hit the rate limit on `POST /api/pastes`. Check the `Retry-After` header for how many seconds to wait. If you're self-hosting and need a higher limit, change `RATE_LIMIT_CREATE_PER_HOUR` in `.env`.
+You've hit a limit on `POST /api/pastes`. The `code` field in the response says which one, and the `Retry-After` header, where present, says how many seconds to wait:
+
+- **With an API key:** 120 pastes per hour per key (`key-limit`)
+- **From the web form:** 10 pastes per hour per IP hash (`rate-limit`), and 20 pastes and 5 MB in total per IP address and 24 hours (`daily-limit`)
+
+If you're self-hosting and need higher limits, change `API_KEY_CREATE_PER_HOUR`, `RATE_LIMIT_CREATE_PER_HOUR`, `DAILY_PASTES_PER_IP` or `DAILY_BYTES_PER_IP` in `.env`.
+
+### Why is my paste refused with `422` or `409`?
+
+It failed a content check. Encoded files (long runs of base64 or hex), pastes that are mostly links, and the same content again within 24 hours are refused, from the form and from API keys alike. The `code` field says which check it was: `blob`, `links` or `duplicate`. Details on the [REST API page](api.md#content-checks).
 
 ### How do I delete a paste via the API?
 
@@ -118,6 +127,10 @@ openssl rand -hex 32
 
 Paste it into `.env`, then restart the service.
 
+### The form refuses to create pastes
+
+In production the form needs Cloudflare Turnstile. Without `CAPTCHA_SITE_KEY` and `CAPTCHA_SECRET_KEY` in `.env` it creates nothing and answers `503` with `code: "captcha-unavailable"`. Create a Turnstile widget for your instance's hostname in the Cloudflare dashboard, put both keys into `.env` and restart the service. Cloudflare's test keys only work outside production. See [Installation](installation.md#environment-variables).
+
 ### Let's Encrypt rate limit hit
 
 If you've been experimenting with certbot and hit a rate limit, use the **staging** environment for testing:
diff --git a/ecosystem/msk-paste/installation.md b/ecosystem/msk-paste/installation.md
index 8a0e2c7..2031005 100644
--- a/ecosystem/msk-paste/installation.md
+++ b/ecosystem/msk-paste/installation.md
@@ -14,7 +14,7 @@ This guide walks you through installing MSK Paste on your own Debian or Ubuntu s
 | Component | Minimum Version |
 |---|---|
 | OS | Debian 11+ / Ubuntu 22.04+ |
-| Node.js | 20.x or 22.x LTS |
+| Node.js | 24 LTS or newer |
 | MariaDB | 10.6+ |
 | Apache | 2.4+ (with `mod_proxy`, `mod_proxy_http`, `mod_headers`, `mod_ssl`) |
 | Domain | A subdomain pointing to your server (e.g. `paste.example.com`) |
@@ -54,10 +54,10 @@ When it finishes, the service is live at your domain over HTTPS.
 
 If you prefer to do it step by step:
 
-### 1. Install Node.js 22
+### 1. Install Node.js 24
 
 ```bash
-curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
+curl -fsSL https://deb.nodesource.com/setup_24.x | sudo -E bash -
 sudo apt install -y nodejs
 ```
 
@@ -147,9 +147,20 @@ DB_NAME=msk_paste
 # Generate with:  openssl rand -hex 32
 IP_HASH_SECRET=change_me_with_openssl_rand_hex_32
 
+# ─── Spam protection ─────────────────────────────────────────────────
+# Cloudflare Turnstile for the create form, required in production
+CAPTCHA_SITE_KEY=
+CAPTCHA_SECRET_KEY=
+# Pastes and bytes one IP address may create through the form per 24 hours
+DAILY_PASTES_PER_IP=20
+DAILY_BYTES_PER_IP=5242880
+# Pastes one API key may create per hour
+API_KEY_CREATE_PER_HOUR=120
+
 # ─── Limits ──────────────────────────────────────────────────────────
 RATE_LIMIT_CREATE_PER_HOUR=10
-MAX_PASTE_SIZE_BYTES=1048576           # 1 MB
+# 1 MB
+MAX_PASTE_SIZE_BYTES=1048576
 PASTE_ID_LENGTH=8
 PASTE_ID_MIN_CUSTOM=4
 PASTE_ID_MAX_CUSTOM=32
@@ -159,6 +170,10 @@ PASTE_ID_MAX_CUSTOM=32
 The `IP_HASH_SECRET` must be at least 32 hex characters. Generate it with `openssl rand -hex 32`. **Never commit it to git.**
 :::
 
+:::info
+The create form needs a Cloudflare Turnstile widget. Create one in the Cloudflare dashboard under **Turnstile** for the hostname of your instance (e.g. `paste.example.com`) and put its site key and secret key into `CAPTCHA_SITE_KEY` and `CAPTCHA_SECRET_KEY`. Both are required in production: without them the form refuses to create pastes. Cloudflare's test keys (site key `1x00000000000000000000AA`, secret `1x0000000000000000000000000000000AA`) always pass, but only outside production.
+:::
+
 ---
 
 ## Scheduled tasks
@@ -179,6 +194,33 @@ sudo crontab -e
 
 ---
 
+## API keys
+
+Creating pastes through the [REST API](api.md#authentication) needs an API key. There is no self-service, you issue keys on the server with the key script. It needs read access to `/opt/msk-paste/.env`, so run it as root or as the service user:
+
+```bash
+sudo bash /opt/msk-paste/scripts/api-key.sh help
+```
+
+The commands:
+
+- `list`: all keys with id, prefix, label, creation time, last use and state
+- `create ["<label>"]`: issues a new key starting with `mskp_`. It is shown **once**, store it right away
+- `revoke <key|prefix|id>`: blocks a key at once. Its row stays, with the time it was revoked
+- `delete <key|prefix|id>`: removes a key entirely
+- `help`: shows this overview
+
+For example:
+
+```bash
+sudo bash /opt/msk-paste/scripts/api-key.sh create "CI pipeline"
+sudo bash /opt/msk-paste/scripts/api-key.sh revoke 3
+```
+
+Only the SHA-256 hash of a key is stored, in the table `api_keys` that migration `003_api_keys.sql` adds, together with a short prefix so you can tell keys apart in `list`. A lost key cannot be shown again: revoke it and issue a new one. Each key may create 120 pastes per hour (`API_KEY_CREATE_PER_HOUR`).
+
+---
+
 ## Updating
 
 The repository includes an `update.sh` script for manual updates:
@@ -191,6 +233,10 @@ This pulls the latest commit, installs dependencies, runs migrations, rebuilds,
 
 If you have configured GitHub Actions deployment, pushing to `main` does this automatically.
 
+:::warning
+Coming from a version without spam protection? Install Node.js 24 first and add the new variables to `.env` (see [Environment variables](#environment-variables)). Without `CAPTCHA_SITE_KEY` and `CAPTCHA_SECRET_KEY` the form stops creating pastes in production, and scripts that create pastes through the API need an [API key](#api-keys) from then on.
+:::
+
 ---
 
 ## Verifying the installation
diff --git a/ecosystem/msk-paste/privacy.md b/ecosystem/msk-paste/privacy.md
index 5181e10..4ad9c00 100644
--- a/ecosystem/msk-paste/privacy.md
+++ b/ecosystem/msk-paste/privacy.md
@@ -26,10 +26,12 @@ For every paste created, the database row contains:
 | `delete_token` | Random 64-char token, shown only to the creator |
 | `size_bytes` | Size of `content` in bytes |
 | `created_at` | Creation timestamp |
-| `created_ip_hash` | **HMAC-SHA-256** of the creator's IP, used only for rate limiting |
+| `created_ip_hash` | **HMAC-SHA-256** of the creator's IP, used only for rate limiting, including the daily limit of the web form. Deleted together with the paste |
 
 That's it. There is no `views` table, no user table, no session table, no IP-address column in plain text.
 
+API keys for the REST API live in a table of their own, `api_keys`. It holds only the SHA-256 hash of each key, a short prefix, a label, and when the key was created, last used and revoked. The key itself is never stored.
+
 ---
 
 ## What is NOT stored
@@ -37,8 +39,8 @@ That's it. There is no `views` table, no user table, no session table, no IP-add
 - **No plain-text IP addresses.** IPs are hashed with HMAC-SHA-256 using a server-side secret (`IP_HASH_SECRET`). Without the secret, the hashes cannot be reversed.
 - **No GeoIP / country lookups.** The application never queries any geolocation service.
 - **No analytics.** No Google Analytics, no Plausible, no Fathom, no Matomo, nothing.
-- **No tracking cookies.** The only cookie set by MSK Paste is `MSK_PASTE_LOCALE`, which stores your language preference (`de` or `en`).
-- **No third-party scripts.** All assets are served from the same origin. Shiki and fonts are bundled at build time.
+- **No tracking cookies.** The only cookie set by MSK Paste is `NEXT_LOCALE`, which stores your language preference (`de` or `en`).
+- **One third-party script, and only on the create page.** The page with the create form loads Cloudflare Turnstile as spam protection, see [below](#spam-protection-cloudflare-turnstile). Pages that display a paste load nothing from third parties. Everything else is served from the same origin, Shiki and fonts are bundled at build time.
 - **No referer logging at the app level.** Apache may write standard access logs (configurable by the host).
 - **No view history.** The view counter increments, but the application has no way to know *who* viewed a paste.
 
@@ -48,13 +50,27 @@ That's it. There is no `views` table, no user table, no session table, no IP-add
 
 Rate limiting needs to identify "the same client" without storing identifiable information. The flow is:
 
-1. Take the requesting IP from `X-Forwarded-For` (set by Apache) or the socket address.
+1. Take the client IP from `X-Real-IP`, which Apache sets from the connection and which replaces whatever a client sent. If it is missing, take the last entry of `X-Forwarded-For`, the one Apache appended. `CF-Connecting-IP` and the first `X-Forwarded-For` entry are never used, because the client writes them itself and could pick a new address for every request.
 2. Compute `HMAC-SHA-256(ip, IP_HASH_SECRET)`.
-3. Store the hash in an **in-memory** sliding window of recent requests.
+3. Store the hash in an **in-memory** sliding window of recent requests. That is the hourly limit.
+
+The daily limit of the web form (20 pastes and 5 MB per 24 hours) counts the pastes stored with the same `created_ip_hash`. The hash is deleted together with the paste.
 
 Because the secret is generated per-installation (`openssl rand -hex 32`), even an attacker with full database access cannot reverse hashes back to IP addresses, there is no rainbow table they can compute without the secret.
 
-The in-memory bucket resets on every restart, so even the rate-limit state is short-lived.
+The in-memory bucket of the hourly limit resets on every restart, so that part of the rate-limit state is short-lived. Requests with an API key are counted per key, not per IP address.
+
+---
+
+## Spam protection (Cloudflare Turnstile)
+
+The page with the create form loads Cloudflare Turnstile from `challenges.cloudflare.com`. Turnstile checks whether a person is sending the form. It is the only third-party script of MSK Paste, and it is not loaded on pages that display a paste.
+
+When the create page loads, your browser connects to Cloudflare, which receives your IP address and information about your browser. When you send the form, MSK Paste passes the Turnstile token and your IP address to Cloudflare to confirm the check.
+
+- **Provider:** Cloudflare, Inc., USA
+- **Legal basis:** Art. 6 (1) (f) GDPR, the legitimate interest in keeping the service free of spam and abuse
+- **Transfer to the USA:** Cloudflare is certified under the EU-US Data Privacy Framework. Standard Contractual Clauses apply in addition.
 
 ---
 
@@ -102,17 +118,19 @@ You are responsible for storing backups securely. Consider:
 
 ## CSP and security headers
 
-MSK Paste ships with strict Content Security Policy and other headers via `next.config.ts`:
+MSK Paste sets a strict Content Security Policy and other headers on every response, in `proxy.ts`:
 
 ```
-Content-Security-Policy: default-src 'self'; ...
+Content-Security-Policy: default-src 'none'; script-src 'self' 'nonce-...' 'strict-dynamic' https://challenges.cloudflare.com; ...
 Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
 X-Content-Type-Options: nosniff
 Referrer-Policy: strict-origin-when-cross-origin
 X-Frame-Options: DENY
-Permissions-Policy: camera=(), microphone=(), geolocation=()
+Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()
 ```
 
+The only outside source the policy allows is `https://challenges.cloudflare.com`, for the Turnstile script, its frame and its requests.
+
 The Apache vhost also enforces HTTPS, OCSP stapling, and modern TLS ciphers.
 
 ---
diff --git a/ecosystem/msk-paste/usage.md b/ecosystem/msk-paste/usage.md
index fecdf35..d518f55 100644
--- a/ecosystem/msk-paste/usage.md
+++ b/ecosystem/msk-paste/usage.md
@@ -25,6 +25,20 @@ Open [paste.msk-scripts.de](https://paste.msk-scripts.de) (or your self-hosted i
 | **Burn after read** | optional | When enabled, the paste is **permanently deleted** after the first successful view. |
 | **Custom ID** | optional | 4–32 characters, only `a–z`, `A–Z`, `0–9`, `_`, `-`. Reserved IDs (`raw`, `api`, `stats`, …) are rejected. |
 
+### Spam protection
+
+Before a paste is created, the form runs a few checks. Most of them you won't notice:
+
+- **Cloudflare Turnstile** runs on the page. Usually it passes on its own, sometimes it asks you to tick a box.
+- The request has to come from the page itself. A hidden field that people never see must stay empty, and the form has to be sent at least 2 seconds and at most 24 hours after the page was loaded. If the tab was open longer, reload it.
+- Per IP address and 24 hours the form creates at most **20 pastes and 5 MB in total**, in addition to the hourly limit.
+
+Some content is refused, from the form and from the [REST API](api.md#content-checks) alike:
+
+- **Encoded files:** an unbroken run of 16 KB of base64 or hex characters, or a paste of 64 KB or more made almost only of wrapped base64.
+- **Link spam:** 3 or more links that make up at least half of the text, or 3 or more BBCode `[url=` or HTML `<a href=` links.
+- **Repeats:** the same content again within 24 hours.
+
 ### After creation
 
 You receive:
@@ -128,7 +142,9 @@ There is **no per-paste view tracking**, no IP information, and no breakdown tha
 |---|---|---|
 | Max paste size | 1 MB | Enforced server-side via Zod + DB column. |
 | Max title length | 100 characters | Truncated in UI, rejected by API. |
-| Rate limit (create) | 10 / hour per IP hash | Returns `429 Too Many Requests` with `Retry-After`. |
+| Rate limit (web form) | 10 / hour per IP hash | Returns `429 Too Many Requests` with `Retry-After`. |
+| Daily limit (web form) | 20 pastes and 5 MB per IP address and 24 hours | Returns `429` with `code: "daily-limit"`. |
+| Rate limit (API key) | 120 / hour per key | Returns `429` with `code: "key-limit"`. |
 | Max expiration | 1 year | Cannot be extended after creation. |
 | Custom ID length | 4–32 characters | Reserved IDs are blocked at creation. |
 
diff --git a/ecosystem/msk-shortener/api.md b/ecosystem/msk-shortener/api.md
index d8860ed..78cb486 100644
--- a/ecosystem/msk-shortener/api.md
+++ b/ecosystem/msk-shortener/api.md
@@ -13,9 +13,27 @@ MSK Shortener exposes a full JSON REST API. Every feature in the web UI is avail
 
 ## Authentication
 
-There is **no API key**. All endpoints are public. Write operations (create / delete) are protected by:
+Creating a link through the API needs an API key. Send it as a Bearer header:
 
-- **Rate limiting** (20 creates per hour per IP hash)
+```http
+Authorization: Bearer msks_...
+```
+
+Keys for MSK Shortener start with `msks_`. The operator issues them on the server, there is no sign-up and no self-service. The hosted instance at s.msk-scripts.de does not issue keys to others; shorten links there through the website. On your own instance you create keys with the key script, see [Installation](installation.md#api-keys).
+
+Without a key, `POST /api/links` only accepts requests from the site's own form and answers `401`:
+
+```json
+{ "error": "Shortening links through the API requires an API key", "code": "api-key-required" }
+```
+
+A wrong or revoked key also gets `401`, with `"code": "api-key-invalid"`.
+
+Everything else works without a key, as before: looking up a link, its statistics and QR code, `POST /api/verify` for password-protected links, and `DELETE` with the delete token. On `DELETE` the Bearer header carries the delete token, not the API key.
+
+Besides the key, write operations are protected by:
+
+- **Rate limiting**, see [Rate limiting](#rate-limiting)
 - **One-time delete tokens** returned at creation time (for `DELETE`)
 - **Verify rate limiting** (10 password attempts per 5 minutes for protected links)
 
@@ -28,21 +46,23 @@ All errors share the same shape:
 ```json
 {
   "error": "Human-readable message",
+  "code": "api-key-required",
   "details": {
     "fieldName": ["validation error 1", "validation error 2"]
   }
 }
 ```
 
-`details` is only present on `400 Bad Request` (validation failures).
+`code` names the reason in a fixed, machine-readable form. It comes with the refusals of `POST /api/links` for the API key, the limits and the target checks, so scripts should check `code` rather than the message. `details` is only present on `400 Bad Request` (validation failures).
 
 | Status | Meaning |
 |---|---|
 | `400` | Validation failed, see `details` |
-| `401` | Wrong password / missing delete token |
+| `401` | Missing or invalid API key (on create), wrong password / missing delete token |
 | `404` | Link does not exist or token is invalid |
 | `409` | Custom short code is already in use |
-| `429` | Rate limit exceeded, see `Retry-After` header |
+| `422` | Target refused by the [target checks](#target-checks) |
+| `429` | Rate limit exceeded, see [Rate limiting](#rate-limiting) |
 
 ---
 
@@ -52,6 +72,7 @@ All errors share the same shape:
 
 ```http
 POST /api/links HTTP/1.1
+Authorization: Bearer msks_...
 Content-Type: application/json
 
 {
@@ -66,7 +87,7 @@ Content-Type: application/json
 
 | Field | Type | Required | Notes |
 |---|---|---|---|
-| `url` | string | yes | `http://` or `https://` only. Max 2048 chars. Private IPs are rejected. |
+| `url` | string | yes | `http://` or `https://` only. Max 2048 chars. Must pass the [target checks](#target-checks), private IPs are rejected as well. |
 | `customCode` | string | no | 3–20 chars, `[a-zA-Z0-9_-]`. Auto-generated if omitted. |
 | `password` | string | no | 4–100 characters. |
 | `expiresAt` | string (ISO 8601) | no | Must be in the future. |
@@ -83,7 +104,7 @@ Content-Type: application/json
 }
 ```
 
-The response also includes rate-limit headers:
+The response also includes rate-limit headers. They describe the hourly limit per IP hash of the web form, not the limit of your API key:
 
 ```
 X-RateLimit-Limit:     20
@@ -99,6 +120,7 @@ The `deleteToken` is the **only** way to delete the link later. Save it. It is n
 
 ```bash
 curl -X POST https://s.msk-scripts.de/api/links \
+  -H "Authorization: Bearer $MSK_SHORTENER_KEY" \
   -H "Content-Type: application/json" \
   -d '{
     "url": "https://msk-scripts.de",
@@ -109,6 +131,19 @@ curl -X POST https://s.msk-scripts.de/api/links \
 
 ---
 
+## Target checks
+
+Every new link goes through the same checks, whether it comes from the web form or from an API key. The target is refused with `422` when it points to
+
+- this service itself, so a short link to a short link (`code: "own-link"`)
+- another URL shortener such as bit.ly or tinyurl.com, including their subdomains (`code: "shortener"`)
+- a bare IP address instead of a hostname (`code: "ip-host"`)
+- a hostname built like a phishing page (`code: "phishing"`): two or more bait words such as `login`, `verify`, `update`, `account` or `access` in the hostname, or one of them together with a cheap TLD like `.sbs`, `.top`, `.xyz` or `.info`, two or more hyphens, or punycode (`xn--`)
+
+Private and loopback addresses are refused as before, see [Privacy & Security](privacy.md#ssrf-protection).
+
+---
+
 ## `GET /api/links/:code`: look up a link
 
 ### Behaviour
@@ -291,7 +326,15 @@ Returns anonymous aggregate numbers shown on the [/stats](https://s.msk-scripts.
 
 ## Rate limiting
 
-The create endpoint is limited to **20 requests per hour per IP hash** by default. When exceeded:
+Requests with an API key and requests from the web form are limited separately:
+
+| Sent by | Limit | `code` on `429` | Setting |
+|---|---|---|---|
+| API key | 120 links per hour per key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Web form | 20 links per hour per IP hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
+| Web form | 20 links per IP address and 24 hours | `daily-limit` | `DAILY_LINKS_PER_IP` |
+
+Requests with a key are not held to the limits of the web form. When the hourly limit per IP hash is exceeded:
 
 ```http
 HTTP/1.1 429 Too Many Requests
@@ -301,10 +344,10 @@ X-RateLimit-Remaining: 0
 X-RateLimit-Reset:     1764547200
 Content-Type: application/json
 
-{ "error": "Zu viele Anfragen. Bitte später erneut versuchen." }
+{ "error": "Zu viele Anfragen. Bitte später erneut versuchen.", "code": "rate-limit" }
 ```
 
-`Retry-After` is in seconds. Self-hosted instances can change the limit via `RATE_LIMIT_CREATE_PER_HOUR`.
+`Retry-After` is in seconds. Self-hosted instances can change every limit with the settings in the table.
 
 The verify endpoint has a separate **10 attempts per 5 minutes** limit per IP hash for brute-force protection.
 
@@ -312,17 +355,19 @@ The verify endpoint has a separate **10 attempts per 5 minutes** limit per IP ha
 
 ## Example: command-line shortener
 
-A minimal Bash function to shorten a URL:
+A minimal Bash function to shorten a URL. It reads your API key from `MSK_SHORTENER_KEY`:
 
 ```bash
 mskshort() {
   curl -sS -X POST https://s.msk-scripts.de/api/links \
+    -H "Authorization: Bearer $MSK_SHORTENER_KEY" \
     -H "Content-Type: application/json" \
     -d "$(jq -n --arg u "$1" '{url: $u}')" \
     | jq -r '.shortUrl'
 }
 
-# Usage:
+# Usage (the key you got from the operator, e.g. set in ~/.bashrc):
+export MSK_SHORTENER_KEY="msks_..."
 mskshort "https://example.com/very/long/url"
 ```
 
@@ -333,7 +378,10 @@ mskshort "https://example.com/very/long/url"
 ```js
 const res = await fetch('https://s.msk-scripts.de/api/links', {
   method: 'POST',
-  headers: { 'Content-Type': 'application/json' },
+  headers: {
+    'Authorization': `Bearer ${process.env.MSK_SHORTENER_KEY}`,
+    'Content-Type': 'application/json',
+  },
   body: JSON.stringify({
     url: 'https://msk-scripts.de',
     customCode: 'msk',
@@ -348,10 +396,12 @@ console.log(link.shortUrl)
 ## Example: Python
 
 ```python
+import os
 import requests
 
 r = requests.post(
     "https://s.msk-scripts.de/api/links",
+    headers={"Authorization": f"Bearer {os.environ['MSK_SHORTENER_KEY']}"},
     json={
         "url": "https://msk-scripts.de",
         "customCode": "msk",
diff --git a/ecosystem/msk-shortener/faq.md b/ecosystem/msk-shortener/faq.md
index ed28416..08889cd 100644
--- a/ecosystem/msk-shortener/faq.md
+++ b/ecosystem/msk-shortener/faq.md
@@ -13,7 +13,7 @@ Yes. The hosted instance at [s.msk-scripts.de](https://s.msk-scripts.de) is free
 
 ### Do I need an account?
 
-No. MSK Shortener has no user system by design. The delete token you receive after creating a link is what allows you to remove it later.
+No. MSK Shortener has no user system by design. The delete token you receive after creating a link is what allows you to remove it later. Creating links through the API needs an API key, though, see below.
 
 ### Can I edit a short link to point at a different URL?
 
@@ -41,16 +41,17 @@ Yes. MSK Shortener stores the URL you submitted verbatim. If the destination dis
 
 ### Where's my API key?
 
-There is no API key. All endpoints are public. Write operations are protected by rate limiting (20 creates per hour per IP hash).
+You get it from the operator. Creating links through the API needs a key starting with `msks_`, and keys are only issued on the server, there is no sign-up or self-service. The hosted instance at s.msk-scripts.de does not issue keys to others; shorten links there through the website. If you host MSK Shortener yourself, create one with `sudo bash /opt/msk-shortener/scripts/api-key.sh create "<label>"`, see [Installation](installation.md#api-keys). Looking up links, verifying passwords and deleting with the delete token still work without a key.
 
 ### Why am I getting `429 Too Many Requests`?
 
-You've hit a rate limit. Check the `Retry-After` header. Two limits exist:
+You've hit a limit. The `code` field in the response says which one, and the `Retry-After` header, where present, says how many seconds to wait. These limits exist:
 
-- **Create:** 20 per hour per IP hash
+- **Create with an API key:** 120 per hour per key (`key-limit`)
+- **Create from the web form:** 20 per hour per IP hash (`rate-limit`) and 20 per IP address and 24 hours (`daily-limit`)
 - **Verify (password):** 10 per 5 minutes per IP hash (brute-force protection)
 
-If you're self-hosting and need a higher create limit, change `RATE_LIMIT_CREATE_PER_HOUR` in `.env`.
+If you're self-hosting and need higher create limits, change `API_KEY_CREATE_PER_HOUR`, `RATE_LIMIT_CREATE_PER_HOUR` or `DAILY_LINKS_PER_IP` in `.env`.
 
 ### How do I delete a link via the API?
 
@@ -65,6 +66,10 @@ curl -X DELETE https://s.msk-scripts.de/api/links/msk \
 
 You tried to shorten a URL pointing at a private IP range or localhost. This is **SSRF protection**, see [Privacy & Security](privacy.md#ssrf-protection). The shortener is only meant for public destinations.
 
+### Why does the API refuse my link with `422`?
+
+The target failed a target check. Links to the shortener itself, to other URL shorteners, to bare IP addresses and to hostnames built like phishing pages are refused, from the form and from API keys alike. The `code` field says which check it was: `own-link`, `shortener`, `ip-host` or `phishing`. Details in [Usage](usage.md#what-gets-blocked).
+
 ### Can I get a list of all links I've created?
 
 No. There is no per-user history, the database doesn't know which links belong to "you". Save the delete tokens client-side if you want a personal history.
@@ -132,6 +137,10 @@ Paste it into `.env`, then restart the service.
 If you change `IP_HASH_SECRET` after the fact, all existing rate-limit hashes and click hashes become "different visitors", but you don't lose any data, just continuity in the rate-limit window.
 :::
 
+### The form refuses to shorten links
+
+In production the form needs Cloudflare Turnstile. Without `CAPTCHA_SITE_KEY` and `CAPTCHA_SECRET_KEY` in `.env` it shortens nothing and answers `503` with `code: "captcha-unavailable"`. Create a Turnstile widget for your instance's hostname in the Cloudflare dashboard, put both keys into `.env` and restart the service. Cloudflare's test keys only work outside production. See [Installation](installation.md#environment-variables).
+
 ### Let's Encrypt rate limit hit
 
 If you've been experimenting with certbot and hit a rate limit, use the **staging** environment for testing:
@@ -178,12 +187,13 @@ Not in the current design. The shortener assumes a single base URL per instance
 
 ### Can I bulk-import or bulk-export links?
 
-Not via the UI, but the REST API can be scripted for both directions:
+Not via the UI, but the REST API can be scripted for both directions. Bulk-creating needs an API key, and one key shortens up to 120 links per hour:
 
 ```bash
 # Bulk-create
 while read url; do
   curl -sS -X POST https://s.msk-scripts.de/api/links \
+    -H "Authorization: Bearer $MSK_SHORTENER_KEY" \
     -H "Content-Type: application/json" \
     -d "$(jq -n --arg u "$url" '{url: $u}')" \
     | jq -r '"\(.shortUrl) \(.deleteToken)"'
diff --git a/ecosystem/msk-shortener/installation.md b/ecosystem/msk-shortener/installation.md
index dd031c3..9282e14 100644
--- a/ecosystem/msk-shortener/installation.md
+++ b/ecosystem/msk-shortener/installation.md
@@ -14,7 +14,7 @@ This guide walks you through installing MSK Shortener on your own Debian or Ubun
 | Component | Minimum Version |
 |---|---|
 | OS | Debian 11+ / Ubuntu 22.04+ |
-| Node.js | 20.x or 22.x LTS |
+| Node.js | 24 LTS or newer |
 | MariaDB | 10.6+ |
 | Apache | 2.4+ (with `mod_proxy`, `mod_proxy_http`, `mod_headers`, `mod_ssl`) |
 | Domain | A short subdomain pointing to your server (e.g. `s.example.com`) |
@@ -51,10 +51,10 @@ When it finishes, the service is live at your domain over HTTPS.
 
 If you prefer to do it step by step:
 
-### 1. Install Node.js 22
+### 1. Install Node.js 24
 
 ```bash
-curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
+curl -fsSL https://deb.nodesource.com/setup_24.x | sudo -E bash -
 sudo apt install -y nodejs
 ```
 
@@ -147,6 +147,15 @@ IP_HASH_SECRET=change_me_with_openssl_rand_hex_32
 # ─── Rate limit ──────────────────────────────────────────────────────
 RATE_LIMIT_CREATE_PER_HOUR=20
 
+# ─── Spam protection ─────────────────────────────────────────────────
+# Cloudflare Turnstile for the create form, required in production
+CAPTCHA_SITE_KEY=
+CAPTCHA_SECRET_KEY=
+# Links one IP address may shorten through the form per 24 hours
+DAILY_LINKS_PER_IP=20
+# Links one API key may shorten per hour
+API_KEY_CREATE_PER_HOUR=120
+
 # ─── Short-code settings ─────────────────────────────────────────────
 SHORTCODE_LENGTH=7
 SHORTCODE_MIN_CUSTOM=3
@@ -157,6 +166,10 @@ SHORTCODE_MAX_CUSTOM=20
 The `IP_HASH_SECRET` must be at least 32 hex characters. Generate it with `openssl rand -hex 32`. **Never commit it to git**, without it, your click statistics lose their anonymization property.
 :::
 
+:::info
+The create form needs a Cloudflare Turnstile widget. Create one in the Cloudflare dashboard under **Turnstile** for the hostname of your instance (e.g. `s.example.com`) and put its site key and secret key into `CAPTCHA_SITE_KEY` and `CAPTCHA_SECRET_KEY`. Both are required in production: without them the form refuses to shorten links. Cloudflare's test keys (site key `1x00000000000000000000AA`, secret `1x0000000000000000000000000000000AA`) always pass, but only outside production.
+:::
+
 ---
 
 ## Scheduled tasks
@@ -177,6 +190,33 @@ sudo crontab -e
 
 ---
 
+## API keys
+
+Creating links through the [REST API](api.md#authentication) needs an API key. There is no self-service, you issue keys on the server with the key script. It needs read access to `/opt/msk-shortener/.env`, so run it as root or as the service user:
+
+```bash
+sudo bash /opt/msk-shortener/scripts/api-key.sh help
+```
+
+The commands:
+
+- `list`: all keys with id, prefix, label, creation time, last use and state
+- `create ["<label>"]`: issues a new key starting with `msks_`. It is shown **once**, store it right away
+- `revoke <key|prefix|id>`: blocks a key at once. Its row stays, with the time it was revoked
+- `delete <key|prefix|id>`: removes a key entirely
+- `help`: shows this overview
+
+For example:
+
+```bash
+sudo bash /opt/msk-shortener/scripts/api-key.sh create "Discord bot"
+sudo bash /opt/msk-shortener/scripts/api-key.sh revoke 3
+```
+
+Only the SHA-256 hash of a key is stored, in the table `api_keys` that migration `005_api_keys.sql` adds, together with a short prefix so you can tell keys apart in `list`. A lost key cannot be shown again: revoke it and issue a new one. Each key may shorten 120 links per hour (`API_KEY_CREATE_PER_HOUR`).
+
+---
+
 ## Updating
 
 The repository includes an `update.sh` script for manual updates:
@@ -189,6 +229,10 @@ This pulls the latest commit, installs dependencies, runs migrations, rebuilds,
 
 If you have configured GitHub Actions deployment, pushing to `main` does this automatically.
 
+:::warning
+Coming from a version without spam protection? Install Node.js 24 first and add the new variables to `.env` (see [Environment variables](#environment-variables)). Without `CAPTCHA_SITE_KEY` and `CAPTCHA_SECRET_KEY` the form stops shortening links in production, and scripts that create links through the API need an [API key](#api-keys) from then on.
+:::
+
 ---
 
 ## Verifying the installation
diff --git a/ecosystem/msk-shortener/privacy.md b/ecosystem/msk-shortener/privacy.md
index 36f3262..2831c96 100644
--- a/ecosystem/msk-shortener/privacy.md
+++ b/ecosystem/msk-shortener/privacy.md
@@ -22,7 +22,7 @@ For every short link created, the `links` row contains:
 | `delete_token` | Random 48-char token, shown only to the creator |
 | `click_count` | Anonymous counter, never linked to specific clicks |
 | `created_at` | Creation timestamp |
-| `created_ip_hash` | **HMAC-SHA-256** of the creator's IP, used only for rate limiting |
+| `created_ip_hash` | **HMAC-SHA-256** of the creator's IP, used only for rate limiting, including the daily limit of the web form |
 
 ---
 
@@ -51,10 +51,10 @@ Click rows are tied to a `link_id` via `ON DELETE CASCADE`, when a link is delet
 - **No plain-text IP addresses.** IPs are hashed with HMAC-SHA-256 using a server-side secret (`IP_HASH_SECRET`). Without the secret, the hashes cannot be reversed.
 - **No GeoIP / country lookups.** The application never queries any geolocation service.
 - **No analytics.** No Google Analytics, no Plausible, no Fathom, no Matomo, nothing.
-- **No tracking cookies.** The only cookie set by MSK Shortener is `MSK_SHORTENER_LOCALE`, which stores your language preference (`de` or `en`).
-- **No third-party scripts.** All assets are served from the same origin.
+- **No tracking cookies.** The only cookie set by MSK Shortener is `NEXT_LOCALE`, which stores your language preference (`de` or `en`).
+- **One third-party script, and only on the create page.** The page with the create form loads Cloudflare Turnstile as spam protection, see [below](#spam-protection-cloudflare-turnstile). Opening a short link loads nothing from third parties. Everything else is served from the same origin.
 - **No referer logging at the app level beyond the host.** The query string and full path are stripped before storage.
-- **No user accounts / sessions / tokens.** There is no `users` table, no `sessions` table, no JWT, nothing to leak.
+- **No user accounts / sessions.** There is no `users` table, no `sessions` table, no JWT, nothing to leak. API keys for the REST API are stored only as SHA-256 hashes in the table `api_keys`, with a short prefix, a label and their timestamps.
 
 ---
 
@@ -62,13 +62,27 @@ Click rows are tied to a `link_id` via `ON DELETE CASCADE`, when a link is delet
 
 Rate limiting needs to identify "the same client" without storing identifiable information. The flow is:
 
-1. Take the requesting IP from `X-Forwarded-For` (set by Apache) or the socket address.
+1. Take the client IP from `X-Real-IP`, which Apache sets from the connection and which replaces whatever a client sent. If it is missing, take the last entry of `X-Forwarded-For`, the one Apache appended. `CF-Connecting-IP` and the first `X-Forwarded-For` entry are never used, because the client writes them itself and could pick a new address for every request.
 2. Compute `HMAC-SHA-256(ip, IP_HASH_SECRET)`.
-3. Store the hash in an **in-memory** sliding window of recent requests.
+3. Store the hash in an **in-memory** sliding window of recent requests. That is the hourly limit.
+
+The daily limit of the web form (20 links per 24 hours) counts the links stored with the same `created_ip_hash`. The hash is deleted together with the link.
 
 Because the secret is generated per-installation (`openssl rand -hex 32`), even an attacker with full database access cannot reverse hashes back to IP addresses.
 
-The in-memory bucket resets on every restart, so even the rate-limit state is short-lived.
+The in-memory bucket of the hourly limit resets on every restart, so that part of the rate-limit state is short-lived. Requests with an API key are counted per key, not per IP address.
+
+---
+
+## Spam protection (Cloudflare Turnstile)
+
+The page with the create form loads Cloudflare Turnstile from `challenges.cloudflare.com`. Turnstile checks whether a person is sending the form. It is the only third-party script of MSK Shortener, and it is not loaded when a short link is opened.
+
+When the create page loads, your browser connects to Cloudflare, which receives your IP address and information about your browser. When you send the form, MSK Shortener passes the Turnstile token and your IP address to Cloudflare to confirm the check.
+
+- **Provider:** Cloudflare, Inc., USA
+- **Legal basis:** Art. 6 (1) (f) GDPR, the legitimate interest in keeping the service free of spam and abuse
+- **Transfer to the USA:** Cloudflare is certified under the EU-US Data Privacy Framework. Standard Contractual Clauses apply in addition.
 
 ---
 
@@ -85,6 +99,8 @@ URLs that point at private or loopback addresses are rejected at creation time.
 
 Only `http://` and `https://` schemes are accepted, no `file://`, `gopher://`, `ftp://`, etc.
 
+On top of that, links to bare IP addresses are refused, public ones included, and so are links to other URL shorteners and to hostnames built like phishing pages. See [Usage](usage.md#what-gets-blocked).
+
 ---
 
 ## Password protection
@@ -120,17 +136,19 @@ You are responsible for storing backups securely. Consider:
 
 ## CSP and security headers
 
-MSK Shortener ships with strict Content Security Policy and other headers via `next.config.ts`:
+MSK Shortener sets a strict Content Security Policy and other headers on every response, in `proxy.ts`:
 
 ```
-Content-Security-Policy: default-src 'self'; ...
+Content-Security-Policy: default-src 'none'; script-src 'self' 'nonce-...' 'strict-dynamic' https://challenges.cloudflare.com; ...
 Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
 X-Content-Type-Options: nosniff
 Referrer-Policy: strict-origin-when-cross-origin
 X-Frame-Options: DENY
-Permissions-Policy: camera=(), microphone=(), geolocation=()
+Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()
 ```
 
+The only outside source the policy allows is `https://challenges.cloudflare.com`, for the Turnstile script, its frame and its requests.
+
 The Apache vhost also enforces HTTPS, OCSP stapling, and modern TLS ciphers.
 
 ---
diff --git a/ecosystem/msk-shortener/usage.md b/ecosystem/msk-shortener/usage.md
index 66ef5be..c3bb1af 100644
--- a/ecosystem/msk-shortener/usage.md
+++ b/ecosystem/msk-shortener/usage.md
@@ -34,6 +34,21 @@ For security, MSK Shortener refuses URLs that point at:
 
 This is **SSRF protection**, preventing your shortener from being used to bounce traffic to internal services.
 
+It also refuses targets that are typical for spam and phishing, from the form and from the [REST API](api.md#target-checks) alike:
+
+- links to this service itself, so a short link to a short link
+- links to other URL shorteners such as bit.ly or tinyurl.com, including their subdomains
+- links to bare IP addresses, public ones included
+- hostnames built like phishing pages: two or more bait words such as `login`, `verify`, `update`, `account` or `access` in the hostname, or one of them together with a cheap TLD like `.sbs`, `.top`, `.xyz` or `.info`, two or more hyphens, or punycode (`xn--`)
+
+### Spam protection
+
+Before a link is created, the form runs a few more checks. Most of them you won't notice:
+
+- **Cloudflare Turnstile** runs on the page. Usually it passes on its own, sometimes it asks you to tick a box.
+- The request has to come from the page itself. A hidden field that people never see must stay empty, and the form has to be sent at least 2 seconds and at most 24 hours after the page was loaded. If the tab was open longer, reload it.
+- Per IP address and 24 hours the form shortens at most **20 links**, in addition to the hourly limit.
+
 ### After creation
 
 You receive:
@@ -140,7 +155,9 @@ There is **no per-link drill-down** here (those live on the per-link stats page)
 | Max URL length | 2048 characters | Enforced server-side via Zod. |
 | Custom code length | 3–20 characters | Reserved codes (e.g. `api`, `stats`, `privacy`) are blocked. |
 | Password length | 4–100 characters | bcrypt cost 12. |
-| Rate limit (create) | 20 / hour per IP hash | Returns `429 Too Many Requests` with `Retry-After`. |
+| Rate limit (web form) | 20 / hour per IP hash | Returns `429 Too Many Requests` with `Retry-After`. |
+| Daily limit (web form) | 20 links per IP address and 24 hours | Returns `429` with `code: "daily-limit"`. |
+| Rate limit (API key) | 120 / hour per key | Returns `429` with `code: "key-limit"`. |
 | Rate limit (verify password) | 10 / 5 minutes per IP hash | Brute-force protection. |
 | Max expiration | Any future ISO timestamp | No hard cap, but DB cleanup runs nightly. |
 
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md
index dc2ce85..5ab9884 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md
@@ -16,9 +16,29 @@ deine Domain.
 
 ## Authentifizierung
 
-Es gibt **keine**. Alle Endpunkte sind öffentlich. Schreibende Aufrufe (anlegen und löschen)
-sind über eine Ratenbegrenzung abgesichert, das Löschen zusätzlich über einen einmaligen,
-zufälligen Lösch-Token.
+Wer über die API einen Paste anlegen will, braucht einen API-Key. Er geht als Bearer-Header
+mit:
+
+```http
+Authorization: Bearer mskp_...
+```
+
+Keys für MSK Paste beginnen mit `mskp_`. Der Betreiber stellt sie auf dem Server aus, eine
+Registrierung oder Selbstbedienung gibt es nicht. Die gehostete Instanz paste.msk-scripts.de gibt keine Keys an andere aus, dort legst du Pastes über die Website an. Auf deiner eigenen Instanz
+legst du Keys mit dem Key-Skript an, siehe [Installation](installation.md#api-keys).
+
+Ohne Key nimmt `POST /api/pastes` nur Anfragen aus dem eigenen Formular der Seite an und
+antwortet sonst mit `401`:
+
+```json
+{ "error": "Creating pastes through the API requires an API key", "code": "api-key-required" }
+```
+
+Ein falscher oder gesperrter Key bekommt ebenfalls `401`, mit `"code": "api-key-invalid"`.
+
+Alles andere geht wie bisher ohne Key: einen Paste abrufen, ihn mit
+`POST /api/pastes/:id/verify` freischalten, ihn mit seinem Lösch-Token löschen und
+`GET /api/stats`.
 
 ---
 
@@ -29,23 +49,28 @@ Alle Fehler haben dieselbe Form:
 ```json
 {
   "error": "Lesbare Meldung",
+  "code": "api-key-required",
   "details": {
     "feldName": ["Validierungsfehler 1", "Validierungsfehler 2"]
   }
 }
 ```
 
-`details` gibt es nur bei `400 Bad Request`, also bei fehlgeschlagener Validierung.
+`code` nennt den Grund in fester, maschinenlesbarer Form. Er steht bei den Ablehnungen von
+`POST /api/pastes` wegen API-Key, Grenzen und Inhaltsprüfung. Skripte werten deshalb besser
+`code` aus als die Meldung. `details` gibt es nur bei `400 Bad Request`, also bei
+fehlgeschlagener Validierung.
 
 | Status | Bedeutung |
 |---|---|
 | `400` | Validierung fehlgeschlagen, siehe `details` |
-| `401` | Falsches Passwort (bei `/verify`) |
+| `401` | API-Key fehlt oder ist ungültig (beim Anlegen), falsches Passwort (bei `/verify`) |
 | `403` | Passwort nötig (bei `/api/pastes/:id`) |
 | `404` | Paste gibt es nicht, ist abgelaufen oder wurde nach dem Lesen gelöscht |
-| `409` | Die eigene ID ist bereits vergeben |
+| `409` | Die eigene ID ist bereits vergeben, oder derselbe Inhalt wurde in den letzten 24 Stunden schon eingefügt (`code: "duplicate"`) |
 | `413` | Inhalt größer als 1 MB |
-| `429` | Ratenbegrenzung erreicht, siehe Header `Retry-After` |
+| `422` | Inhalt von der [Inhaltsprüfung](#inhaltsprüfung) abgelehnt |
+| `429` | Grenze erreicht, siehe [Ratenbegrenzung](#ratenbegrenzung) |
 
 ---
 
@@ -55,6 +80,7 @@ Alle Fehler haben dieselbe Form:
 
 ```http
 POST /api/pastes HTTP/1.1
+Authorization: Bearer mskp_...
 Content-Type: application/json
 
 {
@@ -103,6 +129,7 @@ liegt nirgends, wo du ihn abrufen könntest.
 
 ```bash
 curl -X POST https://paste.msk-scripts.de/api/pastes \
+  -H "Authorization: Bearer $MSK_PASTE_KEY" \
   -H "Content-Type: application/json" \
   -d '{
     "content": "print(\"hello\")",
@@ -113,6 +140,17 @@ curl -X POST https://paste.msk-scripts.de/api/pastes \
 
 ---
 
+## Inhaltsprüfung
+
+Jeder neue Paste durchläuft dieselben Prüfungen, egal ob er aus dem Formular kommt oder über
+einen API-Key. Abgelehnt wird ein Paste, wenn er
+
+- eine kodierte Datei enthält: einen ununterbrochenen Block von 16 KB aus Base64- oder Hex-Zeichen, oder ab 64 KB Größe fast nur aus umbrochenem Base64 besteht (`422`, `code: "blob"`)
+- vor allem aus Links besteht: 3 oder mehr Links, die mindestens die Hälfte des Textes ausmachen, oder 3 oder mehr Links als BBCode `[url=` oder HTML `<a href=` (`422`, `code: "links"`)
+- einen Inhalt wiederholt, der in den letzten 24 Stunden schon eingefügt wurde (`409`, `code: "duplicate"`)
+
+---
+
 ## `GET /api/pastes/:id`, einen Paste abrufen
 
 ### Verhalten
@@ -223,31 +261,41 @@ Liefert die anonymen Gesamtzahlen, die auch auf der Seite
 
 ## Ratenbegrenzung
 
-Der Endpunkt zum Anlegen ist standardmäßig auf **10 Anfragen pro Stunde und IP-Hash**
-begrenzt. Ist das erreicht:
+Anfragen mit API-Key und Anfragen aus dem Formular sind getrennt begrenzt:
+
+| Gesendet über | Grenze | `code` bei `429` | Einstellung |
+|---|---|---|---|
+| API-Key | 120 Pastes pro Stunde je Key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Formular | 10 Pastes pro Stunde je IP-Hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
+| Formular | 20 Pastes und zusammen 5 MB je IP-Adresse und 24 Stunden | `daily-limit` | `DAILY_PASTES_PER_IP`, `DAILY_BYTES_PER_IP` |
+
+Für Anfragen mit Key gelten die Grenzen des Formulars nicht. Ist die Grenze pro Stunde und
+IP-Hash erreicht:
 
 ```http
 HTTP/1.1 429 Too Many Requests
 Retry-After: 1742
 Content-Type: application/json
 
-{ "error": "Rate limit exceeded. Please try again later." }
+{ "error": "Rate limit exceeded", "code": "rate-limit" }
 ```
 
-`Retry-After` steht in Sekunden. Bei einer eigenen Instanz änderst du die Grenze über
-`RATE_LIMIT_CREATE_PER_HOUR`.
+`Retry-After` steht in Sekunden. Bei einer eigenen Instanz änderst du jede Grenze über die
+Einstellung aus der Tabelle.
 
 ---
 
 ## Beispiel: Upload von der Kommandozeile
 
-Eine knappe Bash-Funktion, die eine Datei hochlädt:
+Eine knappe Bash-Funktion, die eine Datei hochlädt. Den API-Key liest sie aus
+`MSK_PASTE_KEY`:
 
 ```bash
 mskpaste() {
   local file="$1"
   local lang="${2:-plaintext}"
   curl -sS -X POST https://paste.msk-scripts.de/api/pastes \
+    -H "Authorization: Bearer $MSK_PASTE_KEY" \
     -H "Content-Type: application/json" \
     -d "$(jq -n \
       --arg c "$(cat "$file")" \
@@ -256,7 +304,8 @@ mskpaste() {
     | jq -r '.url'
 }
 
-# Aufruf:
+# Aufruf (den Key vom Betreiber, etwa in der ~/.bashrc gesetzt):
+export MSK_PASTE_KEY="mskp_..."
 mskpaste script.lua lua
 mskpaste server.log
 ```
@@ -268,7 +317,10 @@ mskpaste server.log
 ```js
 const res = await fetch('https://paste.msk-scripts.de/api/pastes', {
   method: 'POST',
-  headers: { 'Content-Type': 'application/json' },
+  headers: {
+    'Authorization': `Bearer ${process.env.MSK_PASTE_KEY}`,
+    'Content-Type': 'application/json',
+  },
   body: JSON.stringify({
     content: 'console.log("hi")',
     language: 'javascript',
@@ -284,10 +336,12 @@ console.log(paste.url)
 ## Beispiel: Python
 
 ```python
+import os
 import requests
 
 r = requests.post(
     "https://paste.msk-scripts.de/api/pastes",
+    headers={"Authorization": f"Bearer {os.environ['MSK_PASTE_KEY']}"},
     json={
         "content": "print('hi')",
         "language": "python",
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/faq.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/faq.md
index 1fab42b..f2126cf 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/faq.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/faq.md
@@ -16,7 +16,8 @@ eigenen Infrastruktur betreiben.
 ### Brauche ich ein Konto?
 
 Nein. MSK Paste hat bewusst kein Nutzersystem. Der Lösch-Token, den du beim Anlegen
-bekommst, ist das, womit du einen Paste später wieder entfernst.
+bekommst, ist das, womit du einen Paste später wieder entfernst. Nur wer über die API
+Pastes anlegt, braucht einen API-Key, siehe weiter unten.
 
 ### Kann ich einen Paste nachträglich bearbeiten?
 
@@ -55,14 +56,32 @@ Nein. Jeder Paste ist ungelistet, nur wer die ID kennt, findet ihn. Es gibt kein
 
 ### Wo ist mein API-Key?
 
-Es gibt keinen. Alle Endpunkte sind öffentlich. Schreibende Aufrufe schützt die
-Ratenbegrenzung, also 10 Anlagen pro Stunde je IP-Hash.
+Den bekommst du vom Betreiber. Wer über die API Pastes anlegen will, braucht einen Key, der
+mit `mskp_` beginnt. Ausgestellt werden Keys nur auf dem Server, eine Registrierung oder
+Selbstbedienung gibt es nicht. Die gehostete Instanz paste.msk-scripts.de gibt keine Keys an andere aus, dort legst du Pastes über die Website an. Hostest du MSK Paste selbst,
+legst du einen mit `sudo bash /opt/msk-paste/scripts/api-key.sh create "<label>"` an, siehe
+[Installation](installation.md#api-keys). Abrufen, Freischalten und Löschen mit dem
+Lösch-Token gehen weiterhin ohne Key.
 
 ### Warum bekomme ich `429 Too Many Requests`?
 
-Du hast die Ratenbegrenzung von `POST /api/pastes` erreicht. Im Header `Retry-After` steht,
-wie viele Sekunden du warten musst. Betreibst du eine eigene Instanz und brauchst mehr,
-ändere `RATE_LIMIT_CREATE_PER_HOUR` in der `.env`.
+Du hast eine Grenze von `POST /api/pastes` erreicht. Welche, steht im Feld `code` der
+Antwort, und wie viele Sekunden du warten musst, im Header `Retry-After`, sofern er
+mitkommt:
+
+- **Mit API-Key:** 120 Pastes pro Stunde je Key (`key-limit`)
+- **Aus dem Formular:** 10 Pastes pro Stunde je IP-Hash (`rate-limit`) sowie 20 Pastes und zusammen 5 MB je IP-Adresse und 24 Stunden (`daily-limit`)
+
+Betreibst du eine eigene Instanz und brauchst mehr, ändere `API_KEY_CREATE_PER_HOUR`,
+`RATE_LIMIT_CREATE_PER_HOUR`, `DAILY_PASTES_PER_IP` oder `DAILY_BYTES_PER_IP` in der `.env`.
+
+### Warum wird mein Paste mit `422` oder `409` abgelehnt?
+
+Er ist an der Inhaltsprüfung hängen geblieben. Kodierte Dateien (lange Blöcke aus Base64
+oder Hex), Pastes, die vor allem aus Links bestehen, und derselbe Inhalt noch einmal binnen
+24 Stunden werden abgelehnt, im Formular genauso wie mit API-Key. Welche Prüfung es war,
+steht im Feld `code`: `blob`, `links` oder `duplicate`. Einzelheiten auf der
+[Seite zur REST-API](api.md#inhaltsprüfung).
 
 ### Wie lösche ich einen Paste über die API?
 
@@ -136,6 +155,15 @@ openssl rand -hex 32
 
 Trag es in die `.env` ein und starte den Dienst neu.
 
+### Das Formular legt keine Pastes an
+
+In Produktion braucht das Formular Cloudflare Turnstile. Fehlen `CAPTCHA_SITE_KEY` und
+`CAPTCHA_SECRET_KEY` in der `.env`, legt es nichts an und antwortet mit `503` und
+`code: "captcha-unavailable"`. Lege im Cloudflare-Dashboard ein Turnstile-Widget für den
+Hostnamen deiner Instanz an, trag beide Schlüssel in die `.env` ein und starte den Dienst
+neu. Die Testschlüssel von Cloudflare funktionieren nur außerhalb der Produktion. Siehe
+[Installation](installation.md#umgebungsvariablen).
+
 ### Ratenbegrenzung von Let's Encrypt erreicht
 
 Hast du beim Ausprobieren mit certbot die Grenze gerissen, nimm zum Testen die
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md
index a74f3b5..4f426fd 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md
@@ -16,7 +16,7 @@ oder Ubuntu-Server. Willst du einfach die gehostete Instanz nutzen, geh direkt z
 | Komponente | Mindestversion |
 |---|---|
 | Betriebssystem | Debian 11+ / Ubuntu 22.04+ |
-| Node.js | 20.x oder 22.x LTS |
+| Node.js | 24 LTS oder neuer |
 | MariaDB | 10.6+ |
 | Apache | 2.4+ (mit `mod_proxy`, `mod_proxy_http`, `mod_headers`, `mod_ssl`) |
 | Domain | Eine Subdomain, die auf deinen Server zeigt, etwa `paste.example.com` |
@@ -59,10 +59,10 @@ Ist es durch, läuft der Dienst unter deiner Domain über HTTPS.
 
 Wenn du lieber Schritt für Schritt vorgehst:
 
-### 1. Node.js 22 installieren
+### 1. Node.js 24 installieren
 
 ```bash
-curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
+curl -fsSL https://deb.nodesource.com/setup_24.x | sudo -E bash -
 sudo apt install -y nodejs
 ```
 
@@ -152,9 +152,20 @@ DB_NAME=msk_paste
 # Erzeugen mit:  openssl rand -hex 32
 IP_HASH_SECRET=change_me_with_openssl_rand_hex_32
 
+# ─── Spamschutz ──────────────────────────────────────────────────────
+# Cloudflare Turnstile für das Formular, in Produktion Pflicht
+CAPTCHA_SITE_KEY=
+CAPTCHA_SECRET_KEY=
+# Pastes und Bytes, die eine IP-Adresse über das Formular in 24 Stunden anlegen darf
+DAILY_PASTES_PER_IP=20
+DAILY_BYTES_PER_IP=5242880
+# Pastes, die ein API-Key pro Stunde anlegen darf
+API_KEY_CREATE_PER_HOUR=120
+
 # ─── Grenzen ─────────────────────────────────────────────────────────
 RATE_LIMIT_CREATE_PER_HOUR=10
-MAX_PASTE_SIZE_BYTES=1048576           # 1 MB
+# 1 MB
+MAX_PASTE_SIZE_BYTES=1048576
 PASTE_ID_LENGTH=8
 PASTE_ID_MIN_CUSTOM=4
 PASTE_ID_MAX_CUSTOM=32
@@ -165,6 +176,16 @@ Das `IP_HASH_SECRET` muss mindestens 32 Hex-Zeichen lang sein. Erzeuge es mit
 `openssl rand -hex 32` und **committe es niemals nach Git.**
 :::
 
+:::info
+Das Formular zum Anlegen braucht ein Turnstile-Widget von Cloudflare. Lege es im
+Cloudflare-Dashboard unter **Turnstile** für den Hostnamen deiner Instanz an, etwa
+`paste.example.com`, und trag Site-Key und Secret-Key in `CAPTCHA_SITE_KEY` und
+`CAPTCHA_SECRET_KEY` ein. In Produktion sind beide Pflicht, ohne sie legt das Formular
+keine Pastes an. Die Testschlüssel von Cloudflare (Site-Key `1x00000000000000000000AA`,
+Secret `1x0000000000000000000000000000000AA`) bestehen immer, aber nur außerhalb der
+Produktion.
+:::
+
 ---
 
 ## Geplante Aufgaben
@@ -185,6 +206,40 @@ sudo crontab -e
 
 ---
 
+## API-Keys
+
+Wer über die [REST-API](api.md#authentifizierung) Pastes anlegen will, braucht einen
+API-Key. Selbstbedienung gibt es nicht, du stellst Keys auf dem Server mit dem Key-Skript
+aus. Es muss `/opt/msk-paste/.env` lesen können, führe es also als root oder als
+Dienstnutzer aus:
+
+```bash
+sudo bash /opt/msk-paste/scripts/api-key.sh help
+```
+
+Die Befehle:
+
+- `list`: alle Keys mit ID, Präfix, Bezeichnung, Anlagezeitpunkt, letzter Nutzung und Zustand
+- `create ["<label>"]`: stellt einen neuen Key aus, der mit `mskp_` beginnt. Er wird **nur einmal** angezeigt, sichere ihn sofort
+- `revoke <key|prefix|id>`: sperrt einen Key sofort. Seine Zeile bleibt mit dem Zeitpunkt der Sperre stehen
+- `delete <key|prefix|id>`: entfernt einen Key ganz
+- `help`: zeigt diese Übersicht
+
+Zum Beispiel:
+
+```bash
+sudo bash /opt/msk-paste/scripts/api-key.sh create "CI-Pipeline"
+sudo bash /opt/msk-paste/scripts/api-key.sh revoke 3
+```
+
+Gespeichert wird nur der SHA-256-Hash eines Keys, in der Tabelle `api_keys`, die die
+Migration `003_api_keys.sql` anlegt, dazu ein kurzes Präfix, damit du die Keys in `list`
+auseinanderhalten kannst. Ein verlorener Key lässt sich nicht erneut anzeigen: sperre ihn
+und stell einen neuen aus. Jeder Key darf 120 Pastes pro Stunde anlegen
+(`API_KEY_CREATE_PER_HOUR`).
+
+---
+
 ## Aktualisieren
 
 Im Repository liegt ein Skript `update.sh` für Updates von Hand:
@@ -199,6 +254,14 @@ baut neu und startet den Dienst neu.
 Hast du den Deploy über GitHub Actions eingerichtet, passiert das bei jedem Push auf `main`
 automatisch.
 
+:::warning
+Kommst du von einer Fassung ohne Spamschutz? Installiere zuerst Node.js 24 und ergänze die
+neuen Variablen in der `.env`, siehe [Umgebungsvariablen](#umgebungsvariablen). Ohne
+`CAPTCHA_SITE_KEY` und `CAPTCHA_SECRET_KEY` legt das Formular in Produktion keine Pastes
+mehr an, und Skripte, die über die API Pastes anlegen, brauchen ab dann einen
+[API-Key](#api-keys).
+:::
+
 ---
 
 ## Die Installation prüfen
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md
index 77fb020..0a9fee5 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md
@@ -27,11 +27,15 @@ Zu jedem angelegten Paste enthält die Datenbankzeile:
 | `delete_token` | Zufälliger Token mit 64 Zeichen, nur dem Ersteller gezeigt |
 | `size_bytes` | Größe von `content` in Bytes |
 | `created_at` | Zeitpunkt des Anlegens |
-| `created_ip_hash` | **HMAC-SHA-256** der IP des Erstellers, ausschließlich für die Ratenbegrenzung |
+| `created_ip_hash` | **HMAC-SHA-256** der IP des Erstellers, ausschließlich für die Ratenbegrenzung, auch für die Tagesgrenze des Formulars. Wird mit dem Paste gelöscht |
 
 Mehr nicht. Es gibt keine Tabelle für Aufrufe, keine für Nutzer, keine für Sitzungen und
 keine Spalte mit einer IP-Adresse im Klartext.
 
+API-Keys für die REST-API liegen in einer eigenen Tabelle, `api_keys`. Darin stehen nur der
+SHA-256-Hash jedes Keys, ein kurzes Präfix, eine Bezeichnung und wann der Key angelegt,
+zuletzt benutzt und gesperrt wurde. Der Key selbst wird nie gespeichert.
+
 ---
 
 ## Was NICHT gespeichert wird
@@ -39,8 +43,8 @@ keine Spalte mit einer IP-Adresse im Klartext.
 - **Keine IP-Adressen im Klartext.** IPs werden mit HMAC-SHA-256 und einem serverseitigen Geheimnis (`IP_HASH_SECRET`) gehasht. Ohne das Geheimnis lassen sich die Hashes nicht zurückrechnen.
 - **Kein GeoIP, keine Länderabfragen.** Die Anwendung fragt nie einen Standortdienst.
 - **Keine Analyse.** Kein Google Analytics, kein Plausible, kein Fathom, kein Matomo, gar nichts.
-- **Keine Tracking-Cookies.** Das einzige Cookie von MSK Paste heißt `MSK_PASTE_LOCALE` und merkt sich deine Sprache (`de` oder `en`).
-- **Keine Skripte von Dritten.** Alle Dateien kommen vom selben Ursprung. Shiki und die Schriften werden beim Bauen mit eingepackt.
+- **Keine Tracking-Cookies.** Das einzige Cookie von MSK Paste heißt `NEXT_LOCALE` und merkt sich deine Sprache (`de` oder `en`).
+- **Ein einziges Skript von Dritten, und nur auf der Seite zum Anlegen.** Die Seite mit dem Formular lädt Cloudflare Turnstile als Spamschutz, siehe [unten](#spamschutz-cloudflare-turnstile). Seiten, die einen Paste anzeigen, laden nichts von Dritten. Alles andere kommt vom selben Ursprung, Shiki und die Schriften werden beim Bauen mit eingepackt.
 - **Kein Referer-Logging auf Anwendungsebene.** Apache schreibt möglicherweise übliche Zugriffsprotokolle, das entscheidet der Betreiber.
 - **Kein Aufrufverlauf.** Der Zähler steigt, aber die Anwendung hat keine Möglichkeit zu wissen, *wer* einen Paste angesehen hat.
 
@@ -51,16 +55,38 @@ keine Spalte mit einer IP-Adresse im Klartext.
 Eine Ratenbegrenzung muss „denselben Client" erkennen, ohne identifizierende Daten zu
 speichern. Der Ablauf:
 
-1. Die anfragende IP aus `X-Forwarded-For` (von Apache gesetzt) oder von der Socket-Adresse nehmen.
+1. Die IP des Clients aus `X-Real-IP` nehmen. Den Header setzt Apache aus der Verbindung, er ersetzt alles, was ein Client selbst mitschickt. Fehlt er, gilt der letzte Eintrag in `X-Forwarded-For`, den Apache angehängt hat. `CF-Connecting-IP` und der erste Eintrag in `X-Forwarded-For` werden nie benutzt, weil der Client sie selbst schreibt und sich damit für jede Anfrage eine neue Adresse aussuchen könnte.
 2. `HMAC-SHA-256(ip, IP_HASH_SECRET)` berechnen.
-3. Den Hash in einem **rein im Speicher** gehaltenen gleitenden Fenster der letzten Anfragen ablegen.
+3. Den Hash in einem **rein im Speicher** gehaltenen gleitenden Fenster der letzten Anfragen ablegen. Das ist die Grenze pro Stunde.
+
+Die Tagesgrenze des Formulars (20 Pastes und 5 MB je 24 Stunden) zählt die Pastes, die mit
+demselben `created_ip_hash` gespeichert sind. Der Hash wird zusammen mit dem Paste gelöscht.
 
 Weil das Geheimnis je Installation erzeugt wird (`openssl rand -hex 32`), kann selbst
 jemand mit vollem Datenbankzugriff die Hashes nicht in IP-Adressen zurückverwandeln. Ohne
 das Geheimnis lässt sich keine Rainbow Table dafür berechnen.
 
-Der Speicher-Eimer wird bei jedem Neustart geleert, selbst der Zustand der Ratenbegrenzung
-ist also kurzlebig.
+Der Speicher-Eimer der Grenze pro Stunde wird bei jedem Neustart geleert, dieser Teil der
+Ratenbegrenzung ist also kurzlebig. Anfragen mit API-Key werden je Key gezählt, nicht je
+IP-Adresse.
+
+---
+
+## Spamschutz (Cloudflare Turnstile)
+
+Die Seite mit dem Formular zum Anlegen lädt Cloudflare Turnstile von
+`challenges.cloudflare.com`. Turnstile prüft, ob ein Mensch das Formular abschickt. Es ist
+das einzige Skript von Dritten in MSK Paste, und auf Seiten, die einen Paste anzeigen, wird
+es nicht geladen.
+
+Beim Laden der Seite zum Anlegen verbindet sich dein Browser mit Cloudflare, Cloudflare
+erhält dabei deine IP-Adresse und Angaben zu deinem Browser. Schickst du das Formular ab,
+reicht MSK Paste das Turnstile-Token und deine IP-Adresse an Cloudflare weiter, um die
+Prüfung zu bestätigen.
+
+- **Anbieter:** Cloudflare, Inc., USA
+- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, den Dienst frei von Spam und Missbrauch zu halten
+- **Übermittlung in die USA:** Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Zusätzlich gelten Standardvertragsklauseln.
 
 ---
 
@@ -121,18 +147,21 @@ Sie sicher aufzubewahren, ist deine Aufgabe. Denk an:
 
 ## CSP und Sicherheits-Header
 
-MSK Paste bringt über die `next.config.ts` eine strikte Content Security Policy und weitere
-Header mit:
+MSK Paste setzt bei jeder Antwort eine strikte Content Security Policy und weitere Header,
+und zwar in `proxy.ts`:
 
 ```
-Content-Security-Policy: default-src 'self'; ...
+Content-Security-Policy: default-src 'none'; script-src 'self' 'nonce-...' 'strict-dynamic' https://challenges.cloudflare.com; ...
 Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
 X-Content-Type-Options: nosniff
 Referrer-Policy: strict-origin-when-cross-origin
 X-Frame-Options: DENY
-Permissions-Policy: camera=(), microphone=(), geolocation=()
+Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()
 ```
 
+Die einzige fremde Quelle, die die Policy zulässt, ist `https://challenges.cloudflare.com`,
+für das Skript von Turnstile, seinen Frame und seine Anfragen.
+
 Der Apache-vHost erzwingt zusätzlich HTTPS, OCSP-Stapling und zeitgemäße TLS-Verfahren.
 
 ---
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/usage.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/usage.md
index 9a4fabc..5f7e2c0 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/usage.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/usage.md
@@ -26,6 +26,22 @@ steht dort das Formular zum Anlegen.
 | **Nach dem Lesen löschen** | optional | Ist es aktiv, wird der Paste nach dem ersten erfolgreichen Aufruf **endgültig gelöscht**. |
 | **Eigene ID** | optional | 4 bis 32 Zeichen, nur `a–z`, `A–Z`, `0–9`, `_` und `-`. Reservierte IDs (`raw`, `api`, `stats`, …) werden abgelehnt. |
 
+### Spamschutz
+
+Bevor ein Paste entsteht, prüft das Formular ein paar Dinge. Das meiste davon merkst du
+nicht:
+
+- **Cloudflare Turnstile** läuft auf der Seite. Meist geht die Prüfung von allein durch, manchmal sollst du ein Kästchen anklicken.
+- Die Anfrage muss von der Seite selbst kommen. Ein verstecktes Feld, das Menschen nie sehen, muss leer bleiben, und das Formular muss frühestens 2 Sekunden und spätestens 24 Stunden nach dem Laden der Seite abgeschickt werden. War der Tab länger offen, lade die Seite neu.
+- Je IP-Adresse und 24 Stunden legt das Formular höchstens **20 Pastes mit zusammen 5 MB** an, zusätzlich zur Grenze pro Stunde.
+
+Manche Inhalte werden abgelehnt, im Formular genauso wie über die
+[REST-API](api.md#inhaltsprüfung):
+
+- **Kodierte Dateien:** ein ununterbrochener Block von 16 KB aus Base64- oder Hex-Zeichen, oder ein Paste ab 64 KB, der fast nur aus umbrochenem Base64 besteht.
+- **Linkspam:** 3 oder mehr Links, die mindestens die Hälfte des Textes ausmachen, oder 3 oder mehr Links als BBCode `[url=` oder HTML `<a href=`.
+- **Wiederholungen:** derselbe Inhalt noch einmal innerhalb von 24 Stunden.
+
 ### Nach dem Anlegen
 
 Du bekommst:
@@ -144,7 +160,9 @@ Es gibt **keine Aufrufverfolgung je Paste**, keine IP-Angaben und keine Aufschl
 |---|---|---|
 | Maximale Paste-Größe | 1 MB | Serverseitig über Zod und die Datenbankspalte durchgesetzt. |
 | Maximale Titellänge | 100 Zeichen | In der Oberfläche gekürzt, von der API abgelehnt. |
-| Ratenbegrenzung beim Anlegen | 10 pro Stunde je IP-Hash | Antwortet mit `429 Too Many Requests` und `Retry-After`. |
+| Ratenbegrenzung im Formular | 10 pro Stunde je IP-Hash | Antwortet mit `429 Too Many Requests` und `Retry-After`. |
+| Tagesgrenze im Formular | 20 Pastes und 5 MB je IP-Adresse und 24 Stunden | Antwortet mit `429` und `code: "daily-limit"`. |
+| Ratenbegrenzung mit API-Key | 120 pro Stunde je Key | Antwortet mit `429` und `code: "key-limit"`. |
 | Längster Ablauf | 1 Jahr | Nach dem Anlegen nicht verlängerbar. |
 | Länge einer eigenen ID | 4 bis 32 Zeichen | Reservierte IDs werden beim Anlegen blockiert. |
 
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md
index ac415aa..912af8a 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md
@@ -16,10 +16,33 @@ Domain.
 
 ## Authentifizierung
 
-Es gibt **keinen API-Key**. Alle Endpunkte sind öffentlich. Schreibende Aufrufe (anlegen und
-löschen) sind abgesichert über:
+Wer über die API einen Link anlegen will, braucht einen API-Key. Er geht als Bearer-Header
+mit:
 
-- eine **Ratenbegrenzung** von 20 Anlagen pro Stunde je IP-Hash
+```http
+Authorization: Bearer msks_...
+```
+
+Keys für MSK Shortener beginnen mit `msks_`. Der Betreiber stellt sie auf dem Server aus,
+eine Registrierung oder Selbstbedienung gibt es nicht. Die gehostete Instanz s.msk-scripts.de gibt keine Keys an andere aus, dort kürzt du Links über die Website. Auf deiner eigenen Instanz
+legst du Keys mit dem Key-Skript an, siehe [Installation](installation.md#api-keys).
+
+Ohne Key nimmt `POST /api/links` nur Anfragen aus dem eigenen Formular der Seite an und
+antwortet sonst mit `401`:
+
+```json
+{ "error": "Shortening links through the API requires an API key", "code": "api-key-required" }
+```
+
+Ein falscher oder gesperrter Key bekommt ebenfalls `401`, mit `"code": "api-key-invalid"`.
+
+Alles andere geht wie bisher ohne Key: einen Link nachschlagen, seine Statistik und seinen
+QR-Code abrufen, `POST /api/verify` für geschützte Links und `DELETE` mit dem Lösch-Token.
+Bei `DELETE` trägt der Bearer-Header den Lösch-Token, nicht den API-Key.
+
+Neben dem Key sind schreibende Aufrufe abgesichert über:
+
+- eine **Ratenbegrenzung**, siehe [Ratenbegrenzung](#ratenbegrenzung)
 - **einmalige Lösch-Token**, die beim Anlegen zurückkommen, für `DELETE`
 - eine **eigene Begrenzung beim Prüfen**, 10 Passwortversuche je 5 Minuten bei geschützten Links
 
@@ -32,21 +55,26 @@ Alle Fehler haben dieselbe Form:
 ```json
 {
   "error": "Lesbare Meldung",
+  "code": "api-key-required",
   "details": {
     "feldName": ["Validierungsfehler 1", "Validierungsfehler 2"]
   }
 }
 ```
 
-`details` gibt es nur bei `400 Bad Request`, also bei fehlgeschlagener Validierung.
+`code` nennt den Grund in fester, maschinenlesbarer Form. Er steht bei den Ablehnungen von
+`POST /api/links` wegen API-Key, Grenzen und Zielprüfung. Skripte werten deshalb besser
+`code` aus als die Meldung. `details` gibt es nur bei `400 Bad Request`, also bei
+fehlgeschlagener Validierung.
 
 | Status | Bedeutung |
 |---|---|
 | `400` | Validierung fehlgeschlagen, siehe `details` |
-| `401` | Falsches Passwort oder fehlender Lösch-Token |
+| `401` | API-Key fehlt oder ist ungültig (beim Anlegen), falsches Passwort oder fehlender Lösch-Token |
 | `404` | Link gibt es nicht oder der Token ist ungültig |
 | `409` | Der eigene Kurzcode ist bereits vergeben |
-| `429` | Ratenbegrenzung erreicht, siehe Header `Retry-After` |
+| `422` | Ziel von der [Zielprüfung](#zielprüfung) abgelehnt |
+| `429` | Grenze erreicht, siehe [Ratenbegrenzung](#ratenbegrenzung) |
 
 ---
 
@@ -56,6 +84,7 @@ Alle Fehler haben dieselbe Form:
 
 ```http
 POST /api/links HTTP/1.1
+Authorization: Bearer msks_...
 Content-Type: application/json
 
 {
@@ -70,7 +99,7 @@ Content-Type: application/json
 
 | Feld | Typ | Pflicht | Hinweise |
 |---|---|---|---|
-| `url` | string | ja | Nur `http://` oder `https://`. Höchstens 2048 Zeichen. Private IPs werden abgelehnt. |
+| `url` | string | ja | Nur `http://` oder `https://`. Höchstens 2048 Zeichen. Muss die [Zielprüfung](#zielprüfung) bestehen, private IPs werden ebenfalls abgelehnt. |
 | `customCode` | string | nein | 3 bis 20 Zeichen, `[a-zA-Z0-9_-]`. Ohne Angabe wird einer erzeugt. |
 | `password` | string | nein | 4 bis 100 Zeichen. |
 | `expiresAt` | string (ISO 8601) | nein | Muss in der Zukunft liegen. |
@@ -87,7 +116,8 @@ Content-Type: application/json
 }
 ```
 
-Dazu kommen Header zur Ratenbegrenzung:
+Dazu kommen Header zur Ratenbegrenzung. Sie beschreiben die Grenze pro Stunde und IP-Hash
+des Formulars, nicht die Grenze deines API-Keys:
 
 ```
 X-RateLimit-Limit:     20
@@ -104,6 +134,7 @@ sich nicht erneut abrufen.
 
 ```bash
 curl -X POST https://s.msk-scripts.de/api/links \
+  -H "Authorization: Bearer $MSK_SHORTENER_KEY" \
   -H "Content-Type: application/json" \
   -d '{
     "url": "https://msk-scripts.de",
@@ -114,6 +145,21 @@ curl -X POST https://s.msk-scripts.de/api/links \
 
 ---
 
+## Zielprüfung
+
+Jeder neue Link durchläuft dieselben Prüfungen, egal ob er aus dem Formular kommt oder über
+einen API-Key. Abgelehnt wird das Ziel mit `422`, wenn es zeigt auf
+
+- diesen Dienst selbst, also einen Kurzlink auf einen Kurzlink (`code: "own-link"`)
+- einen anderen URL-Kürzer wie bit.ly oder tinyurl.com, auch auf deren Subdomains (`code: "shortener"`)
+- eine nackte IP-Adresse statt eines Hostnamens (`code: "ip-host"`)
+- einen Hostnamen, der wie eine Phishing-Seite gebaut ist (`code: "phishing"`): zwei oder mehr Köderwörter wie `login`, `verify`, `update`, `account` oder `access` im Hostnamen, oder eines davon zusammen mit einer billigen TLD wie `.sbs`, `.top`, `.xyz` oder `.info`, mit zwei oder mehr Bindestrichen oder mit Punycode (`xn--`)
+
+Private Adressen und Loopback werden wie bisher abgelehnt, siehe
+[Datenschutz und Sicherheit](privacy.md#ssrf-schutz).
+
+---
+
 ## `GET /api/links/:code`, einen Link nachschlagen
 
 ### Verhalten
@@ -302,8 +348,16 @@ Liefert die anonymen Gesamtzahlen, die auch auf der Seite
 
 ## Ratenbegrenzung
 
-Der Endpunkt zum Anlegen ist standardmäßig auf **20 Anfragen pro Stunde und IP-Hash**
-begrenzt. Ist das erreicht:
+Anfragen mit API-Key und Anfragen aus dem Formular sind getrennt begrenzt:
+
+| Gesendet über | Grenze | `code` bei `429` | Einstellung |
+|---|---|---|---|
+| API-Key | 120 Links pro Stunde je Key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Formular | 20 Links pro Stunde je IP-Hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
+| Formular | 20 Links je IP-Adresse und 24 Stunden | `daily-limit` | `DAILY_LINKS_PER_IP` |
+
+Für Anfragen mit Key gelten die Grenzen des Formulars nicht. Ist die Grenze pro Stunde und
+IP-Hash erreicht:
 
 ```http
 HTTP/1.1 429 Too Many Requests
@@ -313,11 +367,11 @@ X-RateLimit-Remaining: 0
 X-RateLimit-Reset:     1764547200
 Content-Type: application/json
 
-{ "error": "Zu viele Anfragen. Bitte später erneut versuchen." }
+{ "error": "Zu viele Anfragen. Bitte später erneut versuchen.", "code": "rate-limit" }
 ```
 
-`Retry-After` steht in Sekunden. Bei einer eigenen Instanz änderst du die Grenze über
-`RATE_LIMIT_CREATE_PER_HOUR`.
+`Retry-After` steht in Sekunden. Bei einer eigenen Instanz änderst du jede Grenze über die
+Einstellung aus der Tabelle.
 
 Der Endpunkt zum Prüfen hat eine eigene Grenze von **10 Versuchen je 5 Minuten** und
 IP-Hash, als Schutz gegen Durchprobieren.
@@ -326,17 +380,20 @@ IP-Hash, als Schutz gegen Durchprobieren.
 
 ## Beispiel: Kürzen von der Kommandozeile
 
-Eine knappe Bash-Funktion, die eine URL kürzt:
+Eine knappe Bash-Funktion, die eine URL kürzt. Den API-Key liest sie aus
+`MSK_SHORTENER_KEY`:
 
 ```bash
 mskshort() {
   curl -sS -X POST https://s.msk-scripts.de/api/links \
+    -H "Authorization: Bearer $MSK_SHORTENER_KEY" \
     -H "Content-Type: application/json" \
     -d "$(jq -n --arg u "$1" '{url: $u}')" \
     | jq -r '.shortUrl'
 }
 
-# Aufruf:
+# Aufruf (den Key vom Betreiber, etwa in der ~/.bashrc gesetzt):
+export MSK_SHORTENER_KEY="msks_..."
 mskshort "https://example.com/sehr/lange/url"
 ```
 
@@ -347,7 +404,10 @@ mskshort "https://example.com/sehr/lange/url"
 ```js
 const res = await fetch('https://s.msk-scripts.de/api/links', {
   method: 'POST',
-  headers: { 'Content-Type': 'application/json' },
+  headers: {
+    'Authorization': `Bearer ${process.env.MSK_SHORTENER_KEY}`,
+    'Content-Type': 'application/json',
+  },
   body: JSON.stringify({
     url: 'https://msk-scripts.de',
     customCode: 'msk',
@@ -362,10 +422,12 @@ console.log(link.shortUrl)
 ## Beispiel: Python
 
 ```python
+import os
 import requests
 
 r = requests.post(
     "https://s.msk-scripts.de/api/links",
+    headers={"Authorization": f"Bearer {os.environ['MSK_SHORTENER_KEY']}"},
     json={
         "url": "https://msk-scripts.de",
         "customCode": "msk",
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/faq.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/faq.md
index 3a05404..6e9fbe3 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/faq.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/faq.md
@@ -16,7 +16,8 @@ Domain betreiben.
 ### Brauche ich ein Konto?
 
 Nein. MSK Shortener hat bewusst kein Nutzersystem. Der Lösch-Token, den du beim Anlegen
-bekommst, ist das, womit du einen Link später wieder entfernst.
+bekommst, ist das, womit du einen Link später wieder entfernst. Nur wer über die API Links
+anlegt, braucht einen API-Key, siehe weiter unten.
 
 ### Kann ich einen Kurzlink auf ein anderes Ziel umbiegen?
 
@@ -53,19 +54,25 @@ gibt es nicht.
 
 ### Wo ist mein API-Key?
 
-Es gibt keinen. Alle Endpunkte sind öffentlich. Schreibende Aufrufe schützt die
-Ratenbegrenzung, also 20 Anlagen pro Stunde je IP-Hash.
+Den bekommst du vom Betreiber. Wer über die API Links anlegen will, braucht einen Key, der
+mit `msks_` beginnt. Ausgestellt werden Keys nur auf dem Server, eine Registrierung oder
+Selbstbedienung gibt es nicht. Die gehostete Instanz s.msk-scripts.de gibt keine Keys an andere aus, dort kürzt du Links über die Website. Hostest du MSK Shortener
+selbst, legst du einen mit `sudo bash /opt/msk-shortener/scripts/api-key.sh create "<label>"`
+an, siehe [Installation](installation.md#api-keys). Links nachschlagen, Passwörter prüfen
+und mit dem Lösch-Token löschen geht weiterhin ohne Key.
 
 ### Warum bekomme ich `429 Too Many Requests`?
 
-Du hast eine Ratenbegrenzung erreicht. Schau in den Header `Retry-After`. Es gibt zwei
+Du hast eine Grenze erreicht. Welche, steht im Feld `code` der Antwort, und wie viele
+Sekunden du warten musst, im Header `Retry-After`, sofern er mitkommt. Es gibt diese
 Grenzen:
 
-- **Anlegen:** 20 pro Stunde je IP-Hash
+- **Anlegen mit API-Key:** 120 pro Stunde je Key (`key-limit`)
+- **Anlegen aus dem Formular:** 20 pro Stunde je IP-Hash (`rate-limit`) und 20 je IP-Adresse und 24 Stunden (`daily-limit`)
 - **Prüfen (Passwort):** 10 je 5 Minuten und IP-Hash, als Schutz gegen Durchprobieren
 
-Betreibst du eine eigene Instanz und brauchst mehr, ändere `RATE_LIMIT_CREATE_PER_HOUR` in
-der `.env`.
+Betreibst du eine eigene Instanz und brauchst mehr, ändere `API_KEY_CREATE_PER_HOUR`,
+`RATE_LIMIT_CREATE_PER_HOUR` oder `DAILY_LINKS_PER_IP` in der `.env`.
 
 ### Wie lösche ich einen Link über die API?
 
@@ -82,6 +89,14 @@ Du wolltest eine URL kürzen, die auf einen privaten IP-Bereich oder auf localho
 ist der **SSRF-Schutz**, siehe [Datenschutz und Sicherheit](privacy.md#ssrf-schutz). Der
 Kürzer ist nur für öffentliche Ziele gedacht.
 
+### Warum lehnt die API meinen Link mit `422` ab?
+
+Das Ziel ist an der Zielprüfung hängen geblieben. Links auf den Kürzer selbst, auf andere
+URL-Kürzer, auf nackte IP-Adressen und auf Hostnamen, die wie Phishing-Seiten gebaut sind,
+werden abgelehnt, im Formular genauso wie mit API-Key. Welche Prüfung es war, steht im Feld
+`code`: `own-link`, `shortener`, `ip-host` oder `phishing`. Einzelheiten unter
+[Bedienung](usage.md#was-blockiert-wird).
+
 ### Bekomme ich eine Liste aller Links, die ich angelegt habe?
 
 Nein. Es gibt keinen Verlauf je Nutzer, die Datenbank weiß nicht, welche Links „dir"
@@ -155,6 +170,15 @@ Ratenbegrenzung und der Klicks als „andere Besucher". Daten verlierst du dabei
 die Kontinuität im Fenster der Ratenbegrenzung.
 :::
 
+### Das Formular kürzt keine Links
+
+In Produktion braucht das Formular Cloudflare Turnstile. Fehlen `CAPTCHA_SITE_KEY` und
+`CAPTCHA_SECRET_KEY` in der `.env`, kürzt es nichts und antwortet mit `503` und
+`code: "captcha-unavailable"`. Lege im Cloudflare-Dashboard ein Turnstile-Widget für den
+Hostnamen deiner Instanz an, trag beide Schlüssel in die `.env` ein und starte den Dienst
+neu. Die Testschlüssel von Cloudflare funktionieren nur außerhalb der Produktion. Siehe
+[Installation](installation.md#umgebungsvariablen).
+
 ### Ratenbegrenzung von Let's Encrypt erreicht
 
 Hast du beim Ausprobieren mit certbot die Grenze gerissen, nimm zum Testen die
@@ -215,12 +239,14 @@ betreibe eine zweite Instanz.
 
 ### Kann ich Links stapelweise importieren oder exportieren?
 
-Über die Oberfläche nicht, aber die REST-API lässt sich für beide Richtungen skripten:
+Über die Oberfläche nicht, aber die REST-API lässt sich für beide Richtungen skripten. Zum
+stapelweisen Anlegen brauchst du einen API-Key, ein Key kürzt bis zu 120 Links pro Stunde:
 
 ```bash
 # Stapelweise anlegen
 while read url; do
   curl -sS -X POST https://s.msk-scripts.de/api/links \
+    -H "Authorization: Bearer $MSK_SHORTENER_KEY" \
     -H "Content-Type: application/json" \
     -d "$(jq -n --arg u "$url" '{url: $u}')" \
     | jq -r '"\(.shortUrl) \(.deleteToken)"'
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md
index 0aa62f3..c52377b 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md
@@ -16,7 +16,7 @@ Debian- oder Ubuntu-Server. Willst du einfach nur einen Kurzlink, geh direkt zu
 | Komponente | Mindestversion |
 |---|---|
 | Betriebssystem | Debian 11+ / Ubuntu 22.04+ |
-| Node.js | 20.x oder 22.x LTS |
+| Node.js | 24 LTS oder neuer |
 | MariaDB | 10.6+ |
 | Apache | 2.4+ (mit `mod_proxy`, `mod_proxy_http`, `mod_headers`, `mod_ssl`) |
 | Domain | Eine kurze Subdomain, die auf deinen Server zeigt, etwa `s.example.com` |
@@ -56,10 +56,10 @@ Ist es durch, läuft der Dienst unter deiner Domain über HTTPS.
 
 Wenn du lieber Schritt für Schritt vorgehst:
 
-### 1. Node.js 22 installieren
+### 1. Node.js 24 installieren
 
 ```bash
-curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
+curl -fsSL https://deb.nodesource.com/setup_24.x | sudo -E bash -
 sudo apt install -y nodejs
 ```
 
@@ -152,6 +152,15 @@ IP_HASH_SECRET=change_me_with_openssl_rand_hex_32
 # ─── Ratenbegrenzung ─────────────────────────────────────────────────
 RATE_LIMIT_CREATE_PER_HOUR=20
 
+# ─── Spamschutz ──────────────────────────────────────────────────────
+# Cloudflare Turnstile für das Formular, in Produktion Pflicht
+CAPTCHA_SITE_KEY=
+CAPTCHA_SECRET_KEY=
+# Links, die eine IP-Adresse über das Formular in 24 Stunden kürzen darf
+DAILY_LINKS_PER_IP=20
+# Links, die ein API-Key pro Stunde kürzen darf
+API_KEY_CREATE_PER_HOUR=120
+
 # ─── Einstellungen der Kurzcodes ─────────────────────────────────────
 SHORTCODE_LENGTH=7
 SHORTCODE_MIN_CUSTOM=3
@@ -164,6 +173,16 @@ Das `IP_HASH_SECRET` muss mindestens 32 Hex-Zeichen lang sein. Erzeuge es mit
 deine Klickstatistik ihre Anonymität.
 :::
 
+:::info
+Das Formular zum Kürzen braucht ein Turnstile-Widget von Cloudflare. Lege es im
+Cloudflare-Dashboard unter **Turnstile** für den Hostnamen deiner Instanz an, etwa
+`s.example.com`, und trag Site-Key und Secret-Key in `CAPTCHA_SITE_KEY` und
+`CAPTCHA_SECRET_KEY` ein. In Produktion sind beide Pflicht, ohne sie kürzt das Formular
+keine Links. Die Testschlüssel von Cloudflare (Site-Key `1x00000000000000000000AA`,
+Secret `1x0000000000000000000000000000000AA`) bestehen immer, aber nur außerhalb der
+Produktion.
+:::
+
 ---
 
 ## Geplante Aufgaben
@@ -184,6 +203,40 @@ sudo crontab -e
 
 ---
 
+## API-Keys
+
+Wer über die [REST-API](api.md#authentifizierung) Links anlegen will, braucht einen
+API-Key. Selbstbedienung gibt es nicht, du stellst Keys auf dem Server mit dem Key-Skript
+aus. Es muss `/opt/msk-shortener/.env` lesen können, führe es also als root oder als
+Dienstnutzer aus:
+
+```bash
+sudo bash /opt/msk-shortener/scripts/api-key.sh help
+```
+
+Die Befehle:
+
+- `list`: alle Keys mit ID, Präfix, Bezeichnung, Anlagezeitpunkt, letzter Nutzung und Zustand
+- `create ["<label>"]`: stellt einen neuen Key aus, der mit `msks_` beginnt. Er wird **nur einmal** angezeigt, sichere ihn sofort
+- `revoke <key|prefix|id>`: sperrt einen Key sofort. Seine Zeile bleibt mit dem Zeitpunkt der Sperre stehen
+- `delete <key|prefix|id>`: entfernt einen Key ganz
+- `help`: zeigt diese Übersicht
+
+Zum Beispiel:
+
+```bash
+sudo bash /opt/msk-shortener/scripts/api-key.sh create "Discord-Bot"
+sudo bash /opt/msk-shortener/scripts/api-key.sh revoke 3
+```
+
+Gespeichert wird nur der SHA-256-Hash eines Keys, in der Tabelle `api_keys`, die die
+Migration `005_api_keys.sql` anlegt, dazu ein kurzes Präfix, damit du die Keys in `list`
+auseinanderhalten kannst. Ein verlorener Key lässt sich nicht erneut anzeigen: sperre ihn
+und stell einen neuen aus. Jeder Key darf 120 Links pro Stunde kürzen
+(`API_KEY_CREATE_PER_HOUR`).
+
+---
+
 ## Aktualisieren
 
 Im Repository liegt ein Skript `update.sh` für Updates von Hand:
@@ -198,6 +251,14 @@ baut neu und startet den Dienst neu.
 Hast du den Deploy über GitHub Actions eingerichtet, passiert das bei jedem Push auf `main`
 automatisch.
 
+:::warning
+Kommst du von einer Fassung ohne Spamschutz? Installiere zuerst Node.js 24 und ergänze die
+neuen Variablen in der `.env`, siehe [Umgebungsvariablen](#umgebungsvariablen). Ohne
+`CAPTCHA_SITE_KEY` und `CAPTCHA_SECRET_KEY` kürzt das Formular in Produktion keine Links
+mehr, und Skripte, die über die API Links anlegen, brauchen ab dann einen
+[API-Key](#api-keys).
+:::
+
 ---
 
 ## Die Installation prüfen
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md
index dbb754d..aa19b84 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md
@@ -23,7 +23,7 @@ Zu jedem angelegten Kurzlink enthält die Zeile in `links`:
 | `delete_token` | Zufälliger Token mit 48 Zeichen, nur dem Ersteller gezeigt |
 | `click_count` | Anonymer Zähler, nie mit einzelnen Klicks verknüpft |
 | `created_at` | Zeitpunkt des Anlegens |
-| `created_ip_hash` | **HMAC-SHA-256** der IP des Erstellers, ausschließlich für die Ratenbegrenzung |
+| `created_ip_hash` | **HMAC-SHA-256** der IP des Erstellers, ausschließlich für die Ratenbegrenzung, auch für die Tagesgrenze des Formulars |
 
 ---
 
@@ -54,10 +54,10 @@ verschwinden seine Klicks mit.
 - **Keine IP-Adressen im Klartext.** IPs werden mit HMAC-SHA-256 und einem serverseitigen Geheimnis (`IP_HASH_SECRET`) gehasht. Ohne das Geheimnis lassen sich die Hashes nicht zurückrechnen.
 - **Kein GeoIP, keine Länderabfragen.** Die Anwendung fragt nie einen Standortdienst.
 - **Keine Analyse.** Kein Google Analytics, kein Plausible, kein Fathom, kein Matomo, gar nichts.
-- **Keine Tracking-Cookies.** Das einzige Cookie von MSK Shortener heißt `MSK_SHORTENER_LOCALE` und merkt sich deine Sprache (`de` oder `en`).
-- **Keine Skripte von Dritten.** Alle Dateien kommen vom selben Ursprung.
+- **Keine Tracking-Cookies.** Das einzige Cookie von MSK Shortener heißt `NEXT_LOCALE` und merkt sich deine Sprache (`de` oder `en`).
+- **Ein einziges Skript von Dritten, und nur auf der Seite zum Anlegen.** Die Seite mit dem Formular lädt Cloudflare Turnstile als Spamschutz, siehe [unten](#spamschutz-cloudflare-turnstile). Wer einen Kurzlink aufruft, lädt nichts von Dritten. Alles andere kommt vom selben Ursprung.
 - **Kein Referer-Logging über den Host hinaus.** Query-String und vollständiger Pfad werden vor dem Speichern abgeschnitten.
-- **Keine Konten, Sitzungen oder Tokens.** Es gibt weder eine Tabelle `users` noch `sessions`, kein JWT, also auch nichts, was auslaufen könnte.
+- **Keine Konten oder Sitzungen.** Es gibt weder eine Tabelle `users` noch `sessions`, kein JWT, also auch nichts, was auslaufen könnte. API-Keys für die REST-API liegen nur als SHA-256-Hash in der Tabelle `api_keys`, mit kurzem Präfix, Bezeichnung und ihren Zeitpunkten.
 
 ---
 
@@ -66,15 +66,37 @@ verschwinden seine Klicks mit.
 Eine Ratenbegrenzung muss „denselben Client" erkennen, ohne identifizierende Daten zu
 speichern. Der Ablauf:
 
-1. Die anfragende IP aus `X-Forwarded-For` (von Apache gesetzt) oder von der Socket-Adresse nehmen.
+1. Die IP des Clients aus `X-Real-IP` nehmen. Den Header setzt Apache aus der Verbindung, er ersetzt alles, was ein Client selbst mitschickt. Fehlt er, gilt der letzte Eintrag in `X-Forwarded-For`, den Apache angehängt hat. `CF-Connecting-IP` und der erste Eintrag in `X-Forwarded-For` werden nie benutzt, weil der Client sie selbst schreibt und sich damit für jede Anfrage eine neue Adresse aussuchen könnte.
 2. `HMAC-SHA-256(ip, IP_HASH_SECRET)` berechnen.
-3. Den Hash in einem **rein im Speicher** gehaltenen gleitenden Fenster der letzten Anfragen ablegen.
+3. Den Hash in einem **rein im Speicher** gehaltenen gleitenden Fenster der letzten Anfragen ablegen. Das ist die Grenze pro Stunde.
+
+Die Tagesgrenze des Formulars (20 Links je 24 Stunden) zählt die Links, die mit demselben
+`created_ip_hash` gespeichert sind. Der Hash wird zusammen mit dem Link gelöscht.
 
 Weil das Geheimnis je Installation erzeugt wird (`openssl rand -hex 32`), kann selbst jemand
 mit vollem Datenbankzugriff die Hashes nicht in IP-Adressen zurückverwandeln.
 
-Der Speicher-Eimer wird bei jedem Neustart geleert, selbst der Zustand der Ratenbegrenzung
-ist also kurzlebig.
+Der Speicher-Eimer der Grenze pro Stunde wird bei jedem Neustart geleert, dieser Teil der
+Ratenbegrenzung ist also kurzlebig. Anfragen mit API-Key werden je Key gezählt, nicht je
+IP-Adresse.
+
+---
+
+## Spamschutz (Cloudflare Turnstile)
+
+Die Seite mit dem Formular zum Anlegen lädt Cloudflare Turnstile von
+`challenges.cloudflare.com`. Turnstile prüft, ob ein Mensch das Formular abschickt. Es ist
+das einzige Skript von Dritten in MSK Shortener, und wer einen Kurzlink aufruft, lädt es
+nicht.
+
+Beim Laden der Seite zum Anlegen verbindet sich dein Browser mit Cloudflare, Cloudflare
+erhält dabei deine IP-Adresse und Angaben zu deinem Browser. Schickst du das Formular ab,
+reicht MSK Shortener das Turnstile-Token und deine IP-Adresse an Cloudflare weiter, um die
+Prüfung zu bestätigen.
+
+- **Anbieter:** Cloudflare, Inc., USA
+- **Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, den Dienst frei von Spam und Missbrauch zu halten
+- **Übermittlung in die USA:** Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Zusätzlich gelten Standardvertragsklauseln.
 
 ---
 
@@ -94,6 +116,10 @@ wird. Gesperrt sind:
 Akzeptiert werden ausschließlich die Schemata `http://` und `https://`, also kein `file://`,
 `gopher://`, `ftp://` und dergleichen.
 
+Darüber hinaus werden Links auf nackte IP-Adressen abgelehnt, auch auf öffentliche, ebenso
+Links auf andere URL-Kürzer und auf Hostnamen, die wie Phishing-Seiten gebaut sind. Siehe
+[Bedienung](usage.md#was-blockiert-wird).
+
 ---
 
 ## Passwortschutz
@@ -136,18 +162,21 @@ Sie sicher aufzubewahren, ist deine Aufgabe. Denk an:
 
 ## CSP und Sicherheits-Header
 
-MSK Shortener bringt über die `next.config.ts` eine strikte Content Security Policy und
-weitere Header mit:
+MSK Shortener setzt bei jeder Antwort eine strikte Content Security Policy und weitere
+Header, und zwar in `proxy.ts`:
 
 ```
-Content-Security-Policy: default-src 'self'; ...
+Content-Security-Policy: default-src 'none'; script-src 'self' 'nonce-...' 'strict-dynamic' https://challenges.cloudflare.com; ...
 Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
 X-Content-Type-Options: nosniff
 Referrer-Policy: strict-origin-when-cross-origin
 X-Frame-Options: DENY
-Permissions-Policy: camera=(), microphone=(), geolocation=()
+Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()
 ```
 
+Die einzige fremde Quelle, die die Policy zulässt, ist `https://challenges.cloudflare.com`,
+für das Skript von Turnstile, seinen Frame und seine Anfragen.
+
 Der Apache-vHost erzwingt zusätzlich HTTPS, OCSP-Stapling und zeitgemäße TLS-Verfahren.
 
 ---
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/usage.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/usage.md
index 79f7a07..189b4d5 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/usage.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/usage.md
@@ -37,6 +37,23 @@ Aus Sicherheitsgründen lehnt MSK Shortener URLs ab, die auf Folgendes zeigen:
 Das ist der **SSRF-Schutz**. Er verhindert, dass dein Kürzer dazu benutzt wird, Verkehr auf
 interne Dienste umzulenken.
 
+Außerdem lehnt er Ziele ab, die typisch für Spam und Phishing sind, im Formular genauso wie
+über die [REST-API](api.md#zielprüfung):
+
+- Links auf diesen Dienst selbst, also einen Kurzlink auf einen Kurzlink
+- Links auf andere URL-Kürzer wie bit.ly oder tinyurl.com, auch auf deren Subdomains
+- Links auf nackte IP-Adressen, auch auf öffentliche
+- Hostnamen, die wie Phishing-Seiten gebaut sind: zwei oder mehr Köderwörter wie `login`, `verify`, `update`, `account` oder `access` im Hostnamen, oder eines davon zusammen mit einer billigen TLD wie `.sbs`, `.top`, `.xyz` oder `.info`, mit zwei oder mehr Bindestrichen oder mit Punycode (`xn--`)
+
+### Spamschutz
+
+Bevor ein Link entsteht, prüft das Formular noch ein paar Dinge. Das meiste davon merkst du
+nicht:
+
+- **Cloudflare Turnstile** läuft auf der Seite. Meist geht die Prüfung von allein durch, manchmal sollst du ein Kästchen anklicken.
+- Die Anfrage muss von der Seite selbst kommen. Ein verstecktes Feld, das Menschen nie sehen, muss leer bleiben, und das Formular muss frühestens 2 Sekunden und spätestens 24 Stunden nach dem Laden der Seite abgeschickt werden. War der Tab länger offen, lade die Seite neu.
+- Je IP-Adresse und 24 Stunden kürzt das Formular höchstens **20 Links**, zusätzlich zur Grenze pro Stunde.
+
 ### Nach dem Anlegen
 
 Du bekommst:
@@ -158,7 +175,9 @@ jeweiligen Links, und IP-Angaben ebenso wenig.
 | Maximale URL-Länge | 2048 Zeichen | Serverseitig über Zod durchgesetzt. |
 | Länge eines eigenen Codes | 3 bis 20 Zeichen | Reservierte Codes wie `api`, `stats` oder `privacy` sind gesperrt. |
 | Passwortlänge | 4 bis 100 Zeichen | bcrypt mit Kostenfaktor 12. |
-| Ratenbegrenzung beim Anlegen | 20 pro Stunde je IP-Hash | Antwortet mit `429 Too Many Requests` und `Retry-After`. |
+| Ratenbegrenzung im Formular | 20 pro Stunde je IP-Hash | Antwortet mit `429 Too Many Requests` und `Retry-After`. |
+| Tagesgrenze im Formular | 20 Links je IP-Adresse und 24 Stunden | Antwortet mit `429` und `code: "daily-limit"`. |
+| Ratenbegrenzung mit API-Key | 120 pro Stunde je Key | Antwortet mit `429` und `code: "key-limit"`. |
 | Ratenbegrenzung bei der Passwortprüfung | 10 je 5 Minuten und IP-Hash | Schutz gegen Durchprobieren. |
 | Längster Ablauf | jeder künftige ISO-Zeitpunkt | Keine harte Grenze, das Aufräumen der Datenbank läuft nächtlich. |
 

From c5da3d4dbd79b7c224d99bb9aaf67ebf79eb508e Mon Sep 17 00:00:00 2001
From: Musiker15 <info@musiker15.de>
Date: Fri, 30 Oct 2026 18:37:40 +0100
Subject: [PATCH 2/2] Name scrypt as the key hash and the brake on wrong keys

MSK Paste and MSK Shortener store API keys as scrypt hashes now and stop an address after ten wrong keys in ten minutes (429, key-attempts).
---
 ecosystem/msk-paste/api.md                                      | 1 +
 ecosystem/msk-paste/installation.md                             | 2 +-
 ecosystem/msk-paste/privacy.md                                  | 2 +-
 ecosystem/msk-shortener/api.md                                  | 1 +
 ecosystem/msk-shortener/installation.md                         | 2 +-
 ecosystem/msk-shortener/privacy.md                              | 2 +-
 .../current/msk-paste/api.md                                    | 1 +
 .../current/msk-paste/installation.md                           | 2 +-
 .../current/msk-paste/privacy.md                                | 2 +-
 .../current/msk-shortener/api.md                                | 1 +
 .../current/msk-shortener/installation.md                       | 2 +-
 .../current/msk-shortener/privacy.md                            | 2 +-
 12 files changed, 12 insertions(+), 8 deletions(-)

diff --git a/ecosystem/msk-paste/api.md b/ecosystem/msk-paste/api.md
index e97cfff..5ce2e76 100644
--- a/ecosystem/msk-paste/api.md
+++ b/ecosystem/msk-paste/api.md
@@ -248,6 +248,7 @@ Requests with an API key and requests from the web form are limited separately:
 | Sent by | Limit | `code` on `429` | Setting |
 |---|---|---|---|
 | API key | 120 pastes per hour per key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Wrong API keys | 10 per address in 10 minutes, then the address waits | `key-attempts` | fixed |
 | Web form | 10 pastes per hour per IP hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
 | Web form | 20 pastes and 5 MB in total per IP address and 24 hours | `daily-limit` | `DAILY_PASTES_PER_IP`, `DAILY_BYTES_PER_IP` |
 
diff --git a/ecosystem/msk-paste/installation.md b/ecosystem/msk-paste/installation.md
index 2031005..fd4d276 100644
--- a/ecosystem/msk-paste/installation.md
+++ b/ecosystem/msk-paste/installation.md
@@ -217,7 +217,7 @@ sudo bash /opt/msk-paste/scripts/api-key.sh create "CI pipeline"
 sudo bash /opt/msk-paste/scripts/api-key.sh revoke 3
 ```
 
-Only the SHA-256 hash of a key is stored, in the table `api_keys` that migration `003_api_keys.sql` adds, together with a short prefix so you can tell keys apart in `list`. A lost key cannot be shown again: revoke it and issue a new one. Each key may create 120 pastes per hour (`API_KEY_CREATE_PER_HOUR`).
+Only a scrypt hash of a key is stored, in the table `api_keys` that migration `003_api_keys.sql` adds, together with a short prefix so you can tell keys apart in `list`. A lost key cannot be shown again: revoke it and issue a new one. Each key may create 120 pastes per hour (`API_KEY_CREATE_PER_HOUR`).
 
 ---
 
diff --git a/ecosystem/msk-paste/privacy.md b/ecosystem/msk-paste/privacy.md
index 4ad9c00..ca076ce 100644
--- a/ecosystem/msk-paste/privacy.md
+++ b/ecosystem/msk-paste/privacy.md
@@ -30,7 +30,7 @@ For every paste created, the database row contains:
 
 That's it. There is no `views` table, no user table, no session table, no IP-address column in plain text.
 
-API keys for the REST API live in a table of their own, `api_keys`. It holds only the SHA-256 hash of each key, a short prefix, a label, and when the key was created, last used and revoked. The key itself is never stored.
+API keys for the REST API live in a table of their own, `api_keys`. It holds only a scrypt hash of each key, a short prefix, a label, and when the key was created, last used and revoked. The key itself is never stored.
 
 ---
 
diff --git a/ecosystem/msk-shortener/api.md b/ecosystem/msk-shortener/api.md
index 78cb486..37ce19a 100644
--- a/ecosystem/msk-shortener/api.md
+++ b/ecosystem/msk-shortener/api.md
@@ -331,6 +331,7 @@ Requests with an API key and requests from the web form are limited separately:
 | Sent by | Limit | `code` on `429` | Setting |
 |---|---|---|---|
 | API key | 120 links per hour per key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Wrong API keys | 10 per address in 10 minutes, then the address waits | `key-attempts` | fixed |
 | Web form | 20 links per hour per IP hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
 | Web form | 20 links per IP address and 24 hours | `daily-limit` | `DAILY_LINKS_PER_IP` |
 
diff --git a/ecosystem/msk-shortener/installation.md b/ecosystem/msk-shortener/installation.md
index 9282e14..7982212 100644
--- a/ecosystem/msk-shortener/installation.md
+++ b/ecosystem/msk-shortener/installation.md
@@ -213,7 +213,7 @@ sudo bash /opt/msk-shortener/scripts/api-key.sh create "Discord bot"
 sudo bash /opt/msk-shortener/scripts/api-key.sh revoke 3
 ```
 
-Only the SHA-256 hash of a key is stored, in the table `api_keys` that migration `005_api_keys.sql` adds, together with a short prefix so you can tell keys apart in `list`. A lost key cannot be shown again: revoke it and issue a new one. Each key may shorten 120 links per hour (`API_KEY_CREATE_PER_HOUR`).
+Only a scrypt hash of a key is stored, in the table `api_keys` that migration `005_api_keys.sql` adds, together with a short prefix so you can tell keys apart in `list`. A lost key cannot be shown again: revoke it and issue a new one. Each key may shorten 120 links per hour (`API_KEY_CREATE_PER_HOUR`).
 
 ---
 
diff --git a/ecosystem/msk-shortener/privacy.md b/ecosystem/msk-shortener/privacy.md
index 2831c96..552c085 100644
--- a/ecosystem/msk-shortener/privacy.md
+++ b/ecosystem/msk-shortener/privacy.md
@@ -54,7 +54,7 @@ Click rows are tied to a `link_id` via `ON DELETE CASCADE`, when a link is delet
 - **No tracking cookies.** The only cookie set by MSK Shortener is `NEXT_LOCALE`, which stores your language preference (`de` or `en`).
 - **One third-party script, and only on the create page.** The page with the create form loads Cloudflare Turnstile as spam protection, see [below](#spam-protection-cloudflare-turnstile). Opening a short link loads nothing from third parties. Everything else is served from the same origin.
 - **No referer logging at the app level beyond the host.** The query string and full path are stripped before storage.
-- **No user accounts / sessions.** There is no `users` table, no `sessions` table, no JWT, nothing to leak. API keys for the REST API are stored only as SHA-256 hashes in the table `api_keys`, with a short prefix, a label and their timestamps.
+- **No user accounts / sessions.** There is no `users` table, no `sessions` table, no JWT, nothing to leak. API keys for the REST API are stored only as scrypt hashes in the table `api_keys`, with a short prefix, a label and their timestamps.
 
 ---
 
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md
index 5ab9884..57c42d4 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/api.md
@@ -266,6 +266,7 @@ Anfragen mit API-Key und Anfragen aus dem Formular sind getrennt begrenzt:
 | Gesendet über | Grenze | `code` bei `429` | Einstellung |
 |---|---|---|---|
 | API-Key | 120 Pastes pro Stunde je Key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Falsche API-Keys | 10 je Adresse in 10 Minuten, danach wartet die Adresse | `key-attempts` | fest |
 | Formular | 10 Pastes pro Stunde je IP-Hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
 | Formular | 20 Pastes und zusammen 5 MB je IP-Adresse und 24 Stunden | `daily-limit` | `DAILY_PASTES_PER_IP`, `DAILY_BYTES_PER_IP` |
 
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md
index 4f426fd..84bdc16 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/installation.md
@@ -232,7 +232,7 @@ sudo bash /opt/msk-paste/scripts/api-key.sh create "CI-Pipeline"
 sudo bash /opt/msk-paste/scripts/api-key.sh revoke 3
 ```
 
-Gespeichert wird nur der SHA-256-Hash eines Keys, in der Tabelle `api_keys`, die die
+Gespeichert wird nur ein scrypt-Hash eines Keys, in der Tabelle `api_keys`, die die
 Migration `003_api_keys.sql` anlegt, dazu ein kurzes Präfix, damit du die Keys in `list`
 auseinanderhalten kannst. Ein verlorener Key lässt sich nicht erneut anzeigen: sperre ihn
 und stell einen neuen aus. Jeder Key darf 120 Pastes pro Stunde anlegen
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md
index 0a9fee5..7e9bc2f 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-paste/privacy.md
@@ -33,7 +33,7 @@ Mehr nicht. Es gibt keine Tabelle für Aufrufe, keine für Nutzer, keine für Si
 keine Spalte mit einer IP-Adresse im Klartext.
 
 API-Keys für die REST-API liegen in einer eigenen Tabelle, `api_keys`. Darin stehen nur der
-SHA-256-Hash jedes Keys, ein kurzes Präfix, eine Bezeichnung und wann der Key angelegt,
+scrypt-Hash jedes Keys, ein kurzes Präfix, eine Bezeichnung und wann der Key angelegt,
 zuletzt benutzt und gesperrt wurde. Der Key selbst wird nie gespeichert.
 
 ---
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md
index 912af8a..31abe1d 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/api.md
@@ -353,6 +353,7 @@ Anfragen mit API-Key und Anfragen aus dem Formular sind getrennt begrenzt:
 | Gesendet über | Grenze | `code` bei `429` | Einstellung |
 |---|---|---|---|
 | API-Key | 120 Links pro Stunde je Key | `key-limit` | `API_KEY_CREATE_PER_HOUR` |
+| Falsche API-Keys | 10 je Adresse in 10 Minuten, danach wartet die Adresse | `key-attempts` | fest |
 | Formular | 20 Links pro Stunde je IP-Hash | `rate-limit` | `RATE_LIMIT_CREATE_PER_HOUR` |
 | Formular | 20 Links je IP-Adresse und 24 Stunden | `daily-limit` | `DAILY_LINKS_PER_IP` |
 
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md
index c52377b..50ca644 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/installation.md
@@ -229,7 +229,7 @@ sudo bash /opt/msk-shortener/scripts/api-key.sh create "Discord-Bot"
 sudo bash /opt/msk-shortener/scripts/api-key.sh revoke 3
 ```
 
-Gespeichert wird nur der SHA-256-Hash eines Keys, in der Tabelle `api_keys`, die die
+Gespeichert wird nur ein scrypt-Hash eines Keys, in der Tabelle `api_keys`, die die
 Migration `005_api_keys.sql` anlegt, dazu ein kurzes Präfix, damit du die Keys in `list`
 auseinanderhalten kannst. Ein verlorener Key lässt sich nicht erneut anzeigen: sperre ihn
 und stell einen neuen aus. Jeder Key darf 120 Links pro Stunde kürzen
diff --git a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md
index aa19b84..e9c875f 100644
--- a/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md
+++ b/i18n/de/docusaurus-plugin-content-docs-ecosystem/current/msk-shortener/privacy.md
@@ -57,7 +57,7 @@ verschwinden seine Klicks mit.
 - **Keine Tracking-Cookies.** Das einzige Cookie von MSK Shortener heißt `NEXT_LOCALE` und merkt sich deine Sprache (`de` oder `en`).
 - **Ein einziges Skript von Dritten, und nur auf der Seite zum Anlegen.** Die Seite mit dem Formular lädt Cloudflare Turnstile als Spamschutz, siehe [unten](#spamschutz-cloudflare-turnstile). Wer einen Kurzlink aufruft, lädt nichts von Dritten. Alles andere kommt vom selben Ursprung.
 - **Kein Referer-Logging über den Host hinaus.** Query-String und vollständiger Pfad werden vor dem Speichern abgeschnitten.
-- **Keine Konten oder Sitzungen.** Es gibt weder eine Tabelle `users` noch `sessions`, kein JWT, also auch nichts, was auslaufen könnte. API-Keys für die REST-API liegen nur als SHA-256-Hash in der Tabelle `api_keys`, mit kurzem Präfix, Bezeichnung und ihren Zeitpunkten.
+- **Keine Konten oder Sitzungen.** Es gibt weder eine Tabelle `users` noch `sessions`, kein JWT, also auch nichts, was auslaufen könnte. API-Keys für die REST-API liegen nur als scrypt-Hash in der Tabelle `api_keys`, mit kurzem Präfix, Bezeichnung und ihren Zeitpunkten.
 
 ---