Authentifizierung
Jede Anfrage an die WorkLogx Public API wird mit einem API Key authentifiziert, der als Bearer-Token gesendet wird.
Authorization: Bearer wlx_test_<prefix>_<secret>#Aufbau des Keys
Ein API Key hat die Form wlx_<environment>_<prefix>_<secret>:
| Teil | Bedeutung |
|---|---|
wlx_test_ | Key für die TEST-Umgebung |
wlx_live_ | Key für die Produktionsumgebung |
<prefix> | 12-stellige öffentliche Kennung des Keys |
<secret> | Geheimer Teil, wird nur beim Erstellen einmal angezeigt |
#TEST und Produktion
| Umgebung | Basis-URL | Akzeptierte Keys |
|---|---|---|
| TEST | https://api-test.worklogx.com/api | nur wlx_test_… |
| Produktion | https://api.worklogx.com/api | nur wlx_live_… |
Ein Key der jeweils anderen Umgebung wird mit 401 invalid_api_key abgelehnt. Alle Beispiele in dieser Dokumentation verwenden die TEST-Umgebung.
Vorschau: Die Bereitstellung von V1 in der Produktionsumgebung ist noch nicht abgeschlossen. Entwickeln Sie Integrationen gegen die TEST-Umgebung.
#Erste authentifizierte Anfrage
curl https://api-test.worklogx.com/api/v1/customers \
-H "Authorization: Bearer wlx_test_YOUR_API_KEY"#Fehler bei der Authentifizierung
| Status | code | Wann |
|---|---|---|
| 401 | invalid_api_key | Header fehlt, kein Bearer, Key fehlerhaft, unbekannt, widerrufen oder abgelaufen, oder Key aus der falschen Umgebung |
| 403 | api_client_disabled | Key gültig, aber der API Client ist deaktiviert |
| 403 | public_api_unavailable | Key gültig, aber die Public API ist für die Organisation nicht freigeschaltet |
| 403 | insufficient_scope | Key gültig, aber dem API Client fehlt der Scope des Endpunkts |
Auf /v1/-Endpunkten akzeptiert die API ausschließlich API Keys, keine Sitzungen oder Tokens von WorkLogx-Benutzern. Das Antwortformat beschreibt Fehler.
#Sicherer Umgang mit Keys
- API Keys nur serverseitig verwenden. Nie in Browser-Code, mobilen Apps oder Versionskontrolle ablegen.
- Keys in einem Secret-Manager oder verschlüsselter Konfiguration speichern.
- Pro Integration einen eigenen API Client anlegen, damit er unabhängig deaktiviert oder rotiert werden kann.
- Bei Verdacht auf ein Leck den Key in WorkLogx widerrufen (siehe API Keys & Scopes).