Authentifizierung im Überblick

Dieser Leitfaden erklärt, wie du dich bei unserer API authentifizierst. Wir unterstützen mehrere Authentifizierungsmethoden:

API-Schlüssel

Die einfachste Authentifizierungsmethode sind API-Schlüssel. Jeder API-Schlüssel ist einer bestimmten Nutzer:in zugeordnet und trägt bestimmte Berechtigungen.

// Example API Key request
const response = await fetch('https://api.example.com/data', {
  headers: {
    'Authorization': 'Bearer YOUR_API_KEY'
  }
});

OAuth 2.0

Für Anwendungen mit höheren Sicherheitsanforderungen unterstützen wir den OAuth-2.0-Flow:

1. Autorisierungsanfrage: Leite Nutzer:innen zu unserer Autorisierungs-URL weiter
2. Zustimmung der Nutzer:in: Die Person genehmigt den Zugriff auf ihr Konto
3. Autorisierungscode: Unser Server gibt einen Autorisierungscode zurück
4. Token-Austausch: Tausche den Code gegen ein Access Token
5. API-Anfragen: Nutze das Access Token für den Zugriff auf geschützte Ressourcen

JWT-Tokens

Nach der Authentifizierung stellen wir JWT-Tokens aus, die kodierte Informationen über die Nutzer:in und ihre Berechtigungen enthalten.

// Example JWT token usage
const response = await fetch('https://api.example.com/protected-resource', {
  headers: {
    'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  }
});

Session-Verwaltung

Sessions sind standardmäßig 24 Stunden gültig. So erneuerst du eine Session:

const refreshResponse = await fetch('https://api.example.com/auth/refresh', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': 'Bearer CURRENT_REFRESH_TOKEN'
  }
});

// Parse the new tokens
const { accessToken, refreshToken } = await refreshResponse.json();

Bewährte Vorgehensweisen

1. Speichere API-Schlüssel und Tokens niemals im clientseitigen Code
2. Nutze Umgebungsvariablen für sensible Zugangsdaten
3. Implementiere Mechanismen zur Token-Erneuerung für langlaufende Anwendungen
4. Setze passende Ablaufzeiten für Tokens
5. Nutze HTTPS für alle API-Anfragen