Hand-werkplekafgeschermd en klaarBij digitale projecten zit de complexiteit vaak niet in één moeilijke configuratiestap, maar in de herhaling: account maken, credential vinden, bepalen waar die veilig moet staan, hem aan het project koppelen, documenteren en later nog weten hoe alles moet worden overgedragen. Hands haalt een belangrijk deel van die verbindingen weg uit de projectlaag.
Het doel is dat je credentials niet langer als losse projectbestanden behandelt. GitHub, Firecrawl, Cloudflare, Supabase en veel andere diensten moeten nog steeds weten wie ze aanroept. Een schonere setup houdt die autoriteit los van de broncode.
Waarom projectsetup vroeger zo uitwaaierde
Als een site GitHub, Cloudflare, webonderzoek en een database nodig heeft, ontstaan al snel meerdere provideraccounts en losse authenticatiemethoden. Zonder duidelijke scheiding krijgt het lokale project vervolgens .env-bestanden, shellvariabelen, setupnotities en secrets die vooral logisch zijn op de machine waarop alles als eerste is ingericht.
Dat is vooral onhandig bij klantwerk. De uiteindelijke eigenaar moet domein, broncode, infrastructuur en provideraccounts kunnen houden zonder afhankelijk te worden van de laptop of persoonlijke ontwikkelomgeving van degene die het project heeft gebouwd.
Eén regel verandert niet: secrets gaan nooit naar GitHub
GitHub is voor broncode en wijzigingsgeschiedenis, niet voor API keys, tokens en wachtwoorden. Een lokaal .env-bestand met secrets hoort nooit in versiebeheer; gebruik .gitignore en een echte secretgrens.
GitHubCode en niet-geheime configuratieHands houdt dat onderscheid praktisch: de Hand kan werken vanuit zijn eigen afgeschermde Linux-werkplek terwijl de credential voor een remote MCP-koppeling buiten de repository blijft.
Twee manieren waarop Apps koppelen
Hands onderscheidt twee koppelroutes. Een Plug-in is een door Hands beheerde verbinding met een voorbereide providerlogin, meestal OAuth, wanneer die Plug-in beschikbaar is. Een Connector gebruikt MCP: je kunt een server uit de gecureerde catalogus kiezen of zelf een openbare HTTPS remote MCP-server toevoegen. Afhankelijk van de server heeft een Connector geen credential nodig, of juist een bearer-token, API-key-header of aangepaste geheime headers.
Het eerlijke verhaal is dus niet dat “API-sleutels verdwijnen”. Met een Plug-in hoef je mogelijk zelf geen sleutel te verplaatsen omdat de autorisatie bij de provider plaatsvindt. Bij veel MCP Connectors bestaat nog steeds een credential. Hands zorgt ervoor dat die verbindingsautoriteit los kan blijven van de broncode en projectbestanden.
- GitHub: de MCP-koppeling gebruikt een Personal Access Token als bearer-token.
- Firecrawl: de MCP-koppeling gebruikt een Firecrawl API-sleutel.
- Cloudflare: de MCP-koppeling gebruikt een afgebakende Cloudflare API-token.
- Supabase: de MCP-koppeling gebruikt een afgebakende personal access token en niet een anon- of service-role projectsleutel.
“Lees de huidige site in GitHub, gebruik Firecrawl om de openbare pagina’s te bekijken die we vervangen en stel eerst het kleinste migratieplan voor voordat je iets wijzigt.”
De provider bepaalt nog steeds welke toegang bestaat
Bij een Plug-in keur je tijdens het inloggen bij de dienst de toegang tot je account goed. Bij een MCP Connector kunnen de tools de rechten gebruiken van het account, token, de API-sleutel of headers die je koppelt. Hands kan die rechten alleen beperken waar de MCP-koppeling dat ondersteunt.
Geef de koppeling alleen de toegang die nodig is: kies een passend beperkt account of een passende sleutel, koppel alleen de diensten die de taak nodig heeft en controleer de rechten voordat je begint.
Beschikbare tools kunnen verschillen per MCP-server, versie en het account of de sleutel die je koppelt. Bekijk de tools van jouw koppeling in plaats van aan te nemen dat ieder account hetzelfde kan.
Je laptop hoeft niet langer de werkplek te zijn waar alles van afhangt
Iedere Hand heeft zijn eigen afgeschermde Linux-werkplek. Je eigen computer hoeft daardoor niet de machine te blijven waarop alle projectbestanden, terminals en langlopende werkzaamheden staan. Werk kan vanaf een computer worden gestart en later vanuit een andere ondersteunde interface worden vervolgd zonder één laptop als permanente uitvoeromgeving te behandelen.
Waarom dit bij klantwerk nog belangrijker is
Bij klantwerk kunnen de duurzame onderdelen bij de klant blijven: het domein, GitHub, Cloudflare, de accounts en de data. Providercredentials kunnen worden vervangen of geroteerd zonder dat de broncode opnieuw hoeft te worden opgebouwd, en het project hoeft niet afhankelijk te blijven van secrets uit de persoonlijke ontwikkelomgeving van een bouwer.
De grotere verschuiving is dus niet dat credentials verdwijnen. Hands zorgt ervoor dat code, credentials, providereigenaarschap en de werkplek van de Hand ieder een duidelijkere plek kunnen krijgen.
Kies de App-route die het werk echt nodig heeft.
Gebruik een Plug-in wanneer Hands een voorbereide providerlogin aanbiedt. Gebruik een MCP Connector wanneer de dienst via MCP beschikbaar is, inclusief een compatibele openbare server die je zelf toevoegt. De manier van koppelen verandert niets aan de regel dat providertoegang bij het werk moet passen.