GoDaddys Hosting-API: Deployment in Agentenhand

GoDaddy hat am 29. September 2026 PR Newswire bezahlt, um eine Pressemeldung mit dem Titel „GoDaddy Launches Web App Hosting with API for AI Coding Tools“ zu verbreiten. Das Produkt darin heißt Node.js Hosting, und GoDaddys Ankündigungsseite schreibt, es „went generally available on August 12, 2026“. Der Launch liegt also zurück. Die Meldung verkauft eine API über den gesamten Lebenszyklus einer App: anlegen, Quellcode hochladen, veröffentlichen, Secrets verwalten, Build- und App-Logs lesen (PR Newswire).

Der Satz, der zählt, wenn du Agenten betreibst, steht im Wortlaut da: „Developers and AI coding agents can also create, deploy and manage apps entirely through the GoDaddy API, without opening a dashboard.“ Der Support-Agent auf dieser Seite bekommt vier Werkzeuge, Zod-validierte Ergebnisse und ein Limit von drei Runden. Eine für Agenten gebaute Hosting-API verändert diese Rechnung. Die Rechnung dreht sich um den Schadensumfang: wessen Token, welche Secrets, was Preview von Production trennt.

Was hält die API für einen Agenten bereit?#

Die Authentifizierung läuft über einen Personal Access Token, gesendet als Authorization: Bearer $GODADDY_PAT. Der Token wird einmal angezeigt und kann optional ablaufen. Die Auth-Dokumentation nennt die Sperrung „instant across all edges“. Vierzehn hosting.*-Scopes steuern die Oberfläche, von Application-Create und Application-Delete bis zu deployment:execute, log:read, Secret-Write und Subscription-Write (Core Concepts). Die Aufteilung wiegt schwerer. Ein Token kann Source-Write ohne deployment:execute tragen, deshalb bereitet ein Agent damit einen Build vor, den er nicht ausliefern kann.

Jede App besteht aus zwei Varianten, Preview und Publish, mit getrennten Quellen, Secrets und URLs. Die Promotion-Regel hat elf Wörter: „Uploads land on preview. Publishing promotes the current preview to publish.“ Secrets gelten pro Variante und werden per RFC 6902 JSON Patch gesetzt, bis zu 50 Operationen pro Request. Das Auslesen geht in eine Richtung: „No endpoint returns secret values, including reads.“ Ein Agent kann ein Credential rotieren, das er nie zu sehen bekommt. Mutationen verlangen einen Idempotency-Key-Header. Lange Operationen geben Jobs zurück, die du pollen kannst. Eine Retry-Schleife, die zweimal feuert, löst kein zweites Deployment aus.

Apps laufen als persistente Node.js-22-Prozesse. Der Upload ist eine Zip-Datei bis 100 MB oder ein GitHub-Repo, automatisch erkannt für acht Frameworks oder ein schlichtes npm start. Zwei private Preview-Apps sind kostenlos, „with no Web Hosting plan or credit card required“. Der Schritt zu Publish verlangt einen bezahlten Plan.

Eine Launch-Meldung, sieben Wochen zu spät#

Die Headline arbeitet hart für ihr September-Datum. webhosting.today hat die Plattform am 21. August durchkämmt. Bhala Dalvi, laut Meldung „CTO, products and AI at GoDaddy“, hält den Pitch schlicht: „Getting an app working shouldn't mean you now have to learn how to host it.“ GoDaddy übernimmt Build und Infrastruktur. Dieser Teil überzeugt mich.

Veröffentlichte Apps bekommen automatisches HTTPS, eine Web Application Firewall, gemanagtes MySQL und ein CDN, das laut Launch-Seite auf Cloudflare basiert, in einer Region, die vor dem ersten Deploy feststeht. Hosting ist in den Web-Hosting-Plänen enthalten, ohne Abrechnung pro Request, pro Gigabyte oder pro Build-Minute. webhosting.today liest die Tarif-Tabelle so: eine veröffentlichte App auf Economy, zehn auf Deluxe, fünfundzwanzig auf Ultimate, dazu je zwei Previews. Eine vollständige Kündigung friert alles für 30 Tage ein, danach verschwinden Apps, Secrets, Datenbanken und Speicher.

Über die Einschränkungen fließt weniger Tinte. Ausgehender Verkehr läuft, so webhosting.today zur Auslegung von GoDaddys GitHub-Repo, über die Ports 80 und 443 plus GoDaddys gemanagtes MySQL, E-Mail geht über ein Loopback-Gateway auf 2525. Nodemailer und externe Relays fallen weg. Die Docs widersprechen sich bei den Previews: Die Launch-Seite sagt, sie laufen nicht ab, die FAQ nennt das Produkt noch eine Beta, und die deutsche Ausgabe entfernt Preview-Apps nach 30 Tagen. Ich habe dort keine App ausgeliefert. Nimm das als genaue Lektüre der Docs, nicht als Review.

Der Workflow, den die API ersetzen würde#

Mein Referenzpunkt ist diese Seite. Sie läuft auf Next.js 16, und ein Deployment besteht aus zwei Befehlen über SSH: git pull, danach docker compose up -d --build. Traefik beendet TLS, Cloudflare steht vor der Zone, und eine WAF-Regel, die ich geschrieben habe, blockiert .env-Probes. Ein Staging-Slot fehlt. Der Build ersetzt den Live-Container.

GoDaddy veröffentlicht zusätzlich ein Agent Skill unter MIT, das Apps gegen den Deploy-Vertrag validiert. Das README nennt Claude Code und Cursor, Werkzeuge, die die Pressemeldung nie erwähnt. Der MCP-Server ist read-only und nur für Domains, Hosting-Aktionen laufen über die REST-API. Ich baue selbst Agenten-Werkzeuge, einen Such-MCP-Server darunter, und die Disziplin ist dieselbe: enge Werkzeuge, validierte Ausgaben, gefährliche Verben außer Reichweite. GoDaddys Scopes übernehmen die Einschränkung. Das gefährliche Verb ist das Produkt.

Gibst du einem Agenten den Deploy-Schlüssel?#

Mein manueller Flow ist sicher, weil er langweilig ist und weil er meiner ist. Der Schlüssel liegt auf einem Laptop, und die einzige Intelligenz in der Schleife bin ich. Das GoDaddy-Modell ist sicher, weil es eng ist: ein Token mit Scopes und ein expliziter Promote-Schritt zwischen Preview und Production. Ein geleakter PAT veröffentlicht von überall mit einem Call, ein gestohlener SSH-Schlüssel schafft dasselbe mit mehr Tipparbeit. Der Token lässt sich sofort sperren. Das steht auf dem Papier.

Die Frage an dich, wenn deine Agenten einen Deploy-Schritt erreichen können: Reicht ein Token mit Scopes plus ein Promote-Schritt als Vertrauen, um den Menschen aus der Schleife zu nehmen, oder bleibt das Verb, das Preview zu Production hochstuft, bei einer Person? Ich habe sie für mein Setup nicht beantwortet. Die Meldung stellt sie ebenfalls nicht.