De Hetzner-token

Een Hetzner-Cloud-API-token is optioneel. Je hebt er nooit een nodig om in te loggen, het dashboard te bekijken, lijstprijzen te zien of een gehost cluster met alleen een control plane te draaien. Een token zet twee dingen aan: de exacte prijzen van jouw account en provisioning (worker pools en SSH-keys op je eigen Hetzner-account).

Zonder token

Je ziet toch alles, tegen lijstprijzen. Het dashboard toont Hetzner-locaties, machinetypes en prijzen. kubehz leest ze met zijn eigen platformtoken. Jouw Hetzner-account kan andere prijzen hebben (bijvoorbeeld onderhandelde prijzen). Daarom toont het dashboard Hetzners lijstprijzen en markeert het ze met een sterretje (*): ze zijn een schatting, niet je rekening.

Je kunt een gehost cluster aanmaken. Een gehost cluster met alleen een control plane heeft geen token nodig, want kubehz draait de control plane op eigen infrastructuur. Een token geeft dat cluster workers op je eigen account, en die keuze maak je één keer, bij het aanmaken.

Een cluster dat zonder gekoppelde token is aangemaakt, kan later geen worker pools meer krijgen. Voor workers koppel je een token en maak je het cluster opnieuw aan (zie Worker pools). Wil je ooit workers op het cluster, koppel dan een token voordat je het cluster aanmaakt.

Met een token

Koppel een token in de aanmaakwizard. Je kunt ook later een token aan je account toevoegen, want het is een tenant-credential, geen credential per cluster. Maar worker pools kies je bij het aanmaken van het cluster: een cluster zonder gekoppelde token kan later geen worker pools meer krijgen, tenzij je het opnieuw aanmaakt (zie Worker pools). Een token die je later koppelt, geeft nog steeds accountexacte prijzen. Het soort token bepaalt wat hij aanzet:

Een Read & Write-token zet provisioning aan. Het dashboard schakelt van lijstprijzen over naar de exacte prijzen van jouw account. Je kunt worker pools aanmaken en schalen: kubehz maakt de servers aan op je account, en je betaalt rechtstreeks aan Hetzner, zonder kubehz-opslag. Je kunt ook de SSH-keys voor de worker nodes beheren.

Een alleen-lezen token geeft nog steeds de exacte prijzen van je account. De token authenticeert, dus de prijzen worden de echte cijfers van je account. Maar provisioning blijft vergrendeld, en het dashboard zegt je dat. Om te provisionen vervang je de token door een Read & Write-token.

De token aanmaken

Kies in de Hetzner Cloud Console het project voor je workers. Kies dan Security → API tokens → Generate API token. Kies Read & Write als je wilt provisionen. Read volstaat voor alleen prijzen.

Hoe kubehz de token controleert

Als je een token koppelt of vervangt, controleert kubehz de token voordat kubehz hem opslaat:

• De token moet authenticeren. kubehz wijst een token af die Hetzner weigert.
• De token moet bij het juiste project horen. Bij een cluster dat al servers heeft, bevestigt kubehz dat de token bij hetzelfde Hetzner-project hoort als die workers. kubehz wijst een token uit een ander project af, zodat de token je bestaande nodes niet laat stranden. (Een hcloud-token hoort bij precies één project.) Soms kan de controle niet draaien: er zijn nog geen geprovisionede servers, of Hetzner is onbereikbaar. Dan is de controle soepel, en kubehz slaat de token op.

Hoe kubehz de token opslaat

Versleuteld opgeslagen, nooit meer getoond. kubehz versleutelt de token voordat de token onze database bereikt. kubehz gebruikt de token alleen om de resources van je eigen cluster te beheren. Het dashboard toont de waarde nooit meer. Het toont alleen of er een token is gekoppeld, en sinds wanneer.

Je kunt de token op elk moment vervangen. Om een token te koppelen of te vervangen, heb je een verse 2FA-bevestiging nodig. Je kunt de token intrekken in de Hetzner Cloud Console wanneer je maar wilt.

Met de lo-CLI

Als je met lok8s provisiont, claimt lo provision met een KUBEHZ_TOKEN het cluster direct voor je tenant. Een KUBEHZ_TOKEN is een clusters:write-API-token die je in het dashboard aanmaakt onder Toegang → API-tokens. Om kubehz ook je HCLOUD_TOKEN voor provisioning vanuit het dashboard te geven, kies je er expliciet voor:

# cluster.lok8s.yaml
spec:
  kubehz:
    hosting: hosted
    connectHcloudToken: true   # stuur HCLOUD_TOKEN naar kubehz voor provisioning

Dit is opt-in. Zonder connectHcloudToken: true gebruikt lo je HCLOUD_TOKEN alleen lokaal en stuurt hem nooit naar kubehz. Zonder een KUBEHZ_TOKEN stuurt lo helemaal niets naar kubehz.

Volgende stappen

• Gehoste control plane: de vorm, de prijs en het gehoste pad in het algemeen.
• Worker pools: pools, schalen en autoscaling (vereist een Read & Write-token).
• Hoe het werkt: de vertrouwensgrens die de token delegeert.

---

Documentatiestatus

Aspect	Detail
Status	live: optionele token, Read & Write zet provisioning aan
Laatst herzien	2026-10-30