API-Zugänge verwalten

Mit API-Tokens gewährst du externen Systemen und Anwendungen Zugriff auf deine weboffice-Daten. Jeder Token kann auf einzelne Funktionsbereiche beschränkt und zeitlich begrenzt werden – so behältst du die Kontrolle, wer auf was zugreifen darf und bis wann.

Voraussetzungen

Du benötigst Administratorrechte für weboffice digital.

Aufbau der Seite

Oben rechts findest du die grüne Schaltfläche + Token erstellen, mit der du einen neuen Zugang hinzufügst. Darunter ist eine Tabelle mit bereits erstellten Tokens: du siehst die Bezeichnung, den Präfix (Erkennungszeichen des Tokens), die eingeräumten Berechtigungen und den Ersteller sowie Ablaufdatum.

So gehst du vor

1. Klicke auf + Token erstellen.

   Ein Fenster öffnet sich mit den Einstellungen für einen neuen Token.

2. Trage unter Bezeichnung einen aussagekräftigen Namen ein, unter dem du diesen Zugang später wiederfindest – zum Beispiel für welches externe System dieser Token gedacht ist.

3. Stelle unter Gültig bis ein Ablaufdatum ein. Der Token ist ab diesem Datum nicht mehr verwendbar. Setze ein Verfallsdatum, um automatisch alte Zugänge zu deaktivieren.

4. Wähle unter Berechtigungen aus, auf welche Funktionsbereiche dieser Token Zugriff haben soll. Das Fenster zeigt alle Module und deren Unterbereiche – aktiviere nur die Checkboxen für das, was dieser externe Zugang wirklich braucht. So begrenzst du das Risiko, wenn der Token compromittiert werden sollte.

   Scrolle durch die Liste und wähle gezielt aus, welche Bereiche (z.B. Artikel, Kunde, Rechnungen) der Token ansprechen darf.

5. Klicke auf Erstellen, um den Token zu speichern.

   Das Fenster schließt sich und der neue Token erscheint in der Tabelle. Der eigentliche Token-Wert (das lange Geheimnis) wird dir nur jetzt einmalig angezeigt – notiere oder kopiere ihn sofort, du kannst ihn später nicht mehr abrufen.

6. Gib den Token an das externe System weiter, das damit auf deine Daten zugreifen soll.

Was danach passiert

Der neue Token ist sofort aktiv und das externe System kann damit API-Anfragen stellen – aber nur für die Bereiche, die du freigegeben hast. Der Token erscheint in der Tabelle und läuft am eingestellten Datum automatisch ab.

Willst du einen Token vorzeitig sperren oder löschen, markierst du ihn in der Tabelle und nutzt die Aktionsschaltflächen. Abgelaufene oder gelöschte Tokens funktionieren nicht mehr.

Tipps und Hinweise

• Token-Sicherheit: Der Token ist wie ein Passwort – gib ihn nur an vertrauenswürdige Systeme weiter und speichere ihn nicht im Klartext.
• Least Privilege: Gib jedem Token nur die Berechtigungen, die wirklich nötig sind. Wenn ein Service nur Artikel lesen darf, aktiviere nicht auch noch Schreib- oder Löschrechte.
• Ablaufdatum nutzen: Setze kurze Gültigkeitszeiträume (z.B. 90 Tage), um regelmäßig zu überprüfen, welche Token noch aktiv sind.
• Audit-Log: Alle Änderungen an Tokens werden protokolliert. Du kannst im Audit-Log sehen, wer welche Tokens erstellt oder gelöscht hat.