# Entscheiden, welche Clients Ihre Modelle erreichen dürfen

> Beschränken Sie, welche Clients Ihr KI-Gateway aufrufen dürfen, mit Zugriffsregeln für Anfrage-Header: Erlauben/Ablehnen nach User-Agent oder beliebigem Header, globale / Gruppen- / Schlüssel-Geltungsbereiche, Allowlist-Modus und ReDoS-sichere Regex.

Kanonisch: https://www.gatellm.io/de/use-cases/client-admission-control/

Zugriffsregeln für Anfrage-Header, die nach User-Agent, Origin oder beliebigem Header erlauben oder verweigern — global, auf eine Key-Gruppe oder auf einen einzelnen Schlüssel begrenzt.

## Worüber die Community tatsächlich klagt
„Ein geleakter Schlüssel bedeutet, dass jeder damit unser Kontingent verbrennen kann“, „wir wollen die Coding-Agenten des ganzen Unternehmens auf die Allowlist setzen, aber blankes curl und Scraper blockieren“, „die Anbieterkonsole hat eine IP-Allowlist, aber unser Datenverkehr ist dynamisch und proxy-gestützt, passt also nie“.
Die Durchsetzung muss dort erfolgen, wo die Anfrage ankommt — am Gateway —, nicht über eine Client-Einstellung, die ein Entwickler einfach ausschalten kann.

## Wie GateLLM es macht
GateLLM bewertet Zulassungsregeln bei jeder Anfrage anhand von HTTP-Headern: sechs Match-Typen (exakt / Präfix / Regex / vorhanden / abwesend / beliebig) und drei Geltungsbereiche (global / Key-Gruppe / Schlüssel), geordnet nach sort_order mit First-Match-Wins.
Für „nur freigegebene Clients“ nutzen Sie den Allowlist-Modus: Setzen Sie die Standardaktion der Gruppe auf Verweigern und fügen Sie dann eine einzige Erlauben-Regel hinzu, die die Client-Signatur trifft — alles andere wird zurückgewiesen, bevor es ein Modell erreicht.

## 5 Hebel, die tatsächlich wirken
- 6 Match-Typen: exakt / Präfix / Regex / vorhanden / abwesend / beliebig — eine Regel kann „A oder B oder C“ per Regex-Alternation ausdrücken
- 3 Geltungsbereiche: global, pro Key-Gruppe, pro Schlüssel — mit First-Match-Wins und globaler Priorität bei gleicher Reihenfolge
- Allowlist-Modus: Standard-Verweigern + ein explizites Erlauben — neue unbekannte Clients werden standardmäßig abgewiesen
- Regeln decken auch Modelllisten-Routen (/v1/models) ab, sodass ein verweigerter Client durchgängig ausgesperrt ist
- ReDoS-sichere Regex-Engine mit linearer Laufzeit — pathologische Muster werden beim Laden abgewiesen, nicht zur Anfragezeit

## FAQ
### Kann ein Client X-Forwarded-For fälschen, um eine Regel zu umgehen?
Ja — X-Forwarded-For ist clientseitig fälschbar. Es ist nur zuverlässig, wenn ein vertrauenswürdiger Reverse-Proxy es überschreibt; sonst füllt ein bösartiger Client es beliebig aus. Für echte IP-Zulassung bevorzugen Sie die Quell-IP, die das Gateway direkt sieht, konfiguriert mit TRUSTED_PROXIES.

### Warum erhält mein Client 403, obwohl der Schlüssel stimmt?
Zugriffsregeln gelten auch für Modelllisten-Routen. Ein verweigerter Client kann bereits bei seinem ersten /v1/models-Aufruf blockiert werden. Prüfen Sie, ob eine Header-ACL-Regel passt, und denken Sie daran, dass unter Standard-Verweigern ein Client, der keine Erlauben-Regel trifft, abgewiesen wird.

### Kann ich „nur erlauben, wenn der Header X NICHT enthält“ schreiben?
Keine einzelne Regex kann das ausdrücken — die Engine hat kein Lookahead. Orchestrieren Sie das Gegenteil: Setzen Sie die Standardaktion auf Verweigern und fügen Sie dann eine Regel „erlauben, wenn er X enthält“ hinzu. Nicht passende Anfragen fallen auf Standard-Verweigern zurück.

- [Vollständige Anleitung: Header ACL konfigurieren (Dokumentation)](https://docs.gatellm.io/en/howto/configure-header-acl)

## Verwandt
- [Startseite](https://www.gatellm.io/de/index.md)
- [Preise](https://www.gatellm.io/de/pricing.md)
- [Kostenrechner](https://www.gatellm.io/de/calculator.md)
- [Über uns](https://www.gatellm.io/de/about.md)
- [Demo buchen](https://www.gatellm.io/de/demo.md)
- [FAQ](https://www.gatellm.io/de/faq.md)
- [AI-Gateways vergleichen](https://www.gatellm.io/de/compare.md)
- [LiteLLM vergleichen](https://www.gatellm.io/de/compare/litellm.md)
- [OpenRouter vergleichen](https://www.gatellm.io/de/compare/openrouter.md)
- [Alibaba Cloud AI Gateway vergleichen](https://www.gatellm.io/de/compare/alibaba-cloud.md)
- [Azure API Management vergleichen](https://www.gatellm.io/de/compare/azure-apim.md)
- [Apigee vergleichen](https://www.gatellm.io/de/compare/apigee.md)
- [Cloudflare AI Gateway vergleichen](https://www.gatellm.io/de/compare/cloudflare.md)
- [Kong AI Gateway vergleichen](https://www.gatellm.io/de/compare/kong.md)
- [Portkey vergleichen](https://www.gatellm.io/de/compare/portkey.md)
- [LiteLLM vs Kong AI Gateway](https://www.gatellm.io/de/compare/litellm-vs-kong.md)
- [LiteLLM vs OpenRouter](https://www.gatellm.io/de/compare/litellm-vs-openrouter.md)
- [LiteLLM vs Portkey](https://www.gatellm.io/de/compare/litellm-vs-portkey.md)
- [Anwendungsfälle](https://www.gatellm.io/de/use-cases.md)
- [LLM-Kosten senken](https://www.gatellm.io/de/use-cases/reduce-cost.md)
- [Hochverfügbarkeit](https://www.gatellm.io/de/use-cases/high-availability.md)
- [Multi-Tenant-Isolation](https://www.gatellm.io/de/use-cases/multi-tenant.md)
- [Compliance & Audit](https://www.gatellm.io/de/use-cases/compliance-audit.md)
- [Fehlerbehebung nach Symptom](https://www.gatellm.io/de/use-cases/troubleshooting.md)
- [Gemischter Multi-Vendor-Modellstack](https://www.gatellm.io/de/use-cases/mixed-model-stack.md)
- [KI im Office selbst hosten](https://www.gatellm.io/de/use-cases/self-hosted-office-ai.md)
- [Token-Nutzung: Transparenz & Zuordnung](https://www.gatellm.io/de/use-cases/token-ops.md)
- [Token-FinOps: KI-Kosten zuordnen & steuern](https://www.gatellm.io/de/use-cases/token-finops.md)
- [MCP-Tool-Governance](https://www.gatellm.io/de/use-cases/mcp-tool-governance.md)
- [Websuche für jedes Modell](https://www.gatellm.io/de/use-cases/web-search-grounding.md)
- [Multi-Key-Rotation & Standby](https://www.gatellm.io/de/use-cases/multi-key-pooling.md)
- [Modellrichtlinie durchsetzen](https://www.gatellm.io/de/use-cases/enforce-model-policy.md)
- [Keine Modellwahl im Client](https://www.gatellm.io/de/use-cases/automatic-model-tiering.md)
- [Ein Protokoll, jedes Modell](https://www.gatellm.io/de/use-cases/one-protocol-any-model.md)
- [Office / Microsoft 365 Add-in](https://www.gatellm.io/de/office-addin.md)
- [Glossar](https://www.gatellm.io/de/glossary.md)
- [Modellkatalog](https://www.gatellm.io/de/models.md)
- [SDK- & Framework-Integrationen](https://www.gatellm.io/de/integrations.md)
- [KI-Coding-Agents & Harnesses](https://www.gatellm.io/de/coding-agents.md)
- [Sicherheit & Compliance](https://www.gatellm.io/de/security.md)