Authentifizierung
- Authorization: ApiKey
- Der API-Schlüssel wird ausschließlich im Authorization-Header von POST /api/v1/auth/token übermittelt. Er gehört weder in JSON noch in URLs oder Abfrageparameter.
- Authorization: Bearer
- Verwenden Sie den zurückgegebenen Token für Ressourcenanfragen und erneuern Sie ihn anhand von expires_at; expires_in wird in Sekunden angegeben.
Warum zuerst ein Token?
Mit dem API-Schlüssel fordern Sie ein Token an. Es gilt 15 Minuten und kann für mehrere Anfragen verwendet werden. An Ressourcen senden Sie nur das Token im Header Authorization: Bearer.
Normale Anfragen enthalten Ihren API-Schlüssel nicht. Ein gestohlenes Token ermöglicht höchstens bis zu seinem Ablauf Zugriff. Mit einem gestohlenen API-Schlüssel lassen sich unter Umständen weitere Tokens anfordern.
Wie lange gilt ein Token?
- expires_in
- 900 Sekunden, also 15 Minuten ab Ausstellung. Anfragen verlängern die Gültigkeit nicht.
- expires_at
- Ablaufzeitpunkt in UTC. Aktuelle Zugriffsbeschränkungen können das Token bereits vorher sperren.
Wann ein neues Token anfordern?
Verwenden Sie das Token für mehrere Anfragen und fordern Sie vor expires_at ein neues an. Ein neues Token ist nicht vor jeder Operation nötig. Verwenden Sie dafür Ihren API-Schlüssel.
Zugriff verweigert und Wiederholungen
- 401
- 401 bedeutet nicht immer, dass das Token abgelaufen ist. Ist es abgelaufen, fordern Sie ein neues an und wiederholen Sie den Lesezugriff höchstens einmal. Liefert die Token-Anforderung 401, prüfen Sie den Schlüssel und stoppen Sie automatische Versuche.
- 403
- Prüfen Sie bei 403 Berechtigungen, IP-Beschränkungen und Tarif. Ein neues Token stellt entzogenen Zugriff nicht wieder her.
IP-Beschränkungen
- Ein Zugriffstoken umgeht keine aktuellen Schlüsselrechte, Tarifberechtigungen, Widerrufe oder IP-Beschränkungen.
- Beschränken Sie einen Schlüssel bei Bedarf auf die Quelladressen Ihrer Integration.
- Berechtigte Administratoren können die Liste bearbeiten; höchstens 32 Adressen sind zulässig.
Schlüsselverwaltung
- Die Schlüsselverwaltung ist von den Ressourcenrechten einer Integration getrennt.
- Nur owner darf Gruppen die administrativen Rechte zum Anzeigen, Erstellen, Bearbeiten oder Löschen von Schlüsseln erteilen.
- Gruppenmitglieder dürfen nur die der Gruppe zugewiesenen Aktionen ausführen.
Anfragelimits
Engine ≥ 4.143.0. Jede Token-Antwort enthält data.rate_limits aus der bei Ausstellung geltenden Shop-Richtlinie. Alle Schlüssel teilen diese Budgets; ein neues Token setzt sie nicht zurück. Tarifänderungen können vor Ablauf des Tokens gelten.
- read_per_minute
- Leseanfragen pro Minute.
- write_per_minute
- Schreibanfragen pro Minute; dieser Wert erteilt keine Schreibrechte.
- auth_per_minute
- Token-Anfragen pro Minute, einschließlich fehlgeschlagener Authentifizierungsversuche.