API-Schlüssel – deine persönlichen Token

Mit einem persönlichen Zugriffstoken kann sich ein Programm als du anmelden, ohne dass du dein Passwort angibst. Es wird auf mobilen Scannern verwendet, also dort, wo du selbst am anderen Ende arbeitest.

Ein externes Programm erhält nicht deinen Token. Eine Integration, Automatisierung oder ein eigenes Skript arbeitet mit einem technischen Konto des Unternehmens: einem separaten Programmkonto mit eigenem Token, das einem einzelnen Unternehmen zugeordnet ist und vom Unternehmensadministrator unter Einstellungen → System → Technische Konten angelegt wird. Der Grund ist einfach: Dein Token umfasst alles, was du in allen Unternehmen darfst, auf die du Zugriff hast – und verschwindet mit deinem Konto, wenn du das Unternehmen verlässt. Bei einem technischen Konto siehst du im Verlauf sofort, welches Programm eine Änderung vorgenommen hat. Siehe Unternehmensadministrator und Superadministrator – wer welche Prüfungen umgeht.

Schritt für Schritt

1. Klicke oben rechts auf deinen Avatar und wähle Mein Profil.
2. Öffne den Tab Sicherheit und scrolle zur Karte API-Schlüssel.
3. Klicke auf Neuer Token. Das Fenster Neuer Zugriffstoken wird geöffnet.
4. Gib einen Token-Namen ein, der ihn beschreibt. Als Beispiel steht im Feld z. B. Scanner Breslau #1.
5. Optional kannst du Läuft ab (optional) festlegen. Der Hinweis lautet: Leer lassen, damit der Token nicht abläuft.
6. Klicke auf Token erstellen.
7. Wenn 2FA aktiviert ist, fragt das System nach einem Code – gib ihn ein.
8. Das Fenster zeigt Dein neuer Token mit den Warnungen Der Token wird nur einmal angezeigt. und Kopiere ihn jetzt – wir können ihn nicht wiederherstellen. Kopiere den Wert und füge ihn jetzt in das Gerät oder Skript ein.
9. Schließe das Fenster über Fertig.
10. Prüfe, ob der Token funktioniert. Wenn du ihn verloren hast, gibt es nichts wiederherzustellen – widerrufe ihn und erstelle einen neuen.

Erstellen

Klicke auf Neuer Token und gib Folgendes ein:

• Token-Name – eine Beschreibung, zum Beispiel Scanner Breslau #1. So erkennst du den Token in einem halben Jahr in der Liste wieder.
• Läuft ab (optional) – ein Ablaufdatum. Bleibt das Feld leer, läuft der Token nie ab; in der Liste steht dann Unbefristet.

Nach der Erstellung zeigt das System den Tokenwert einmal an.

Kopiere ihn jetzt. Danach lässt er sich nicht mehr auslesen – weder von dir noch vom Support oder einem Administrator. Einen verlorenen Token musst du widerrufen und neu ausstellen.

Was in der Liste zu sehen ist

Der Name sowie Zuletzt verwendet: und Läuft ab: (oder Unbefristet). Ein Token, dessen Zugriff gesperrt wurde, trägt die Markierung Widerrufen.

Die Spalte „zuletzt verwendet“ ist besonders nützlich: Ein Token, den seit Monaten niemand genutzt hat, gehört meist zu einem Scanner, den es nicht mehr gibt – ein guter Kandidat zum Widerrufen.

Widerrufen

Die Aktion Token widerrufen sperrt den Zugriff sofort. Das System bestätigt dies mit Token widerrufen. Klicke erneut, um ihn aus der Liste zu entfernen. Der widerrufene Token bleibt als Nachweis in der Liste; über Aus der Liste entfernen kannst du ihn dort löschen.

Token sind unabhängig von Sitzungen

Darüber stolpern wir bei Vorfällen am häufigsten: „Alle Sitzungen abmelden“ widerruft keine Token. Ein Scanner mit Token funktioniert weiter, auch wenn alle Browser abgemeldet wurden (Sitzungen und Geräte – wer in deinem Konto angemeldet ist).

Wenn 2FA aktiviert ist

Das Erstellen und Widerrufen von Token erfordert dann eine zusätzliche Bestätigung per Code (Zwei-Faktor-Authentifizierung (2FA) – aktivieren, Wiederherstellungscodes, deaktivieren).

Gute Token-Hygiene

• Verwende einen Token pro Gerät oder Integration. Ein gemeinsamer Token für fünf Scanner bedeutet, dass du nach dem Verlust eines Scanners alle fünf neu konfigurieren musst.
• Lege für alles Vorübergehende ein Ablaufdatum fest.
• Ein Token ist ein Geheimnis wie ein Passwort – sende ihn nicht per Chat oder E-Mail.