API-Tokens

Ein API-Token erlaubt einem Skript oder einem anderen System, in Ihrem Namen mit Flowtly zu arbeiten, ohne dass sich jemand über den Anmeldebildschirm anmeldet. Ihre eigenen Tokens erstellen und widerrufen Sie unter Profil → Sicherheit, im Abschnitt API-Tokens.

Ein Token handelt als Sie

Lesen Sie diesen Abschnitt, bevor Sie ein Token an jemanden oder etwas weitergeben.

Ein Token trägt Ihre Identität und Ihre Berechtigungen. Was Sie in Flowtly sehen und ändern können, kann auch alles sehen und ändern, was Ihr Token besitzt, und alles, was damit geschieht, geschieht als Sie.

• Es ist kein Organisationsschlüssel. Es gehört der Person, die es erstellt hat, und reicht genau so weit wie deren Zugriff.
• Es lässt sich nicht einschränken. Es gibt kein Token nur zum Lesen und keines nur für ein Modul: Jedes Token hat Ihren vollständigen Zugriff.

Wer einer Integration ein Token gibt, gibt ihr also den eigenen Zugriff. Geben Sie es nur an ein System weiter, dem Sie Ihr Konto anvertrauen würden, und erstellen Sie es als die Person, deren Zugriff die Integration tatsächlich braucht.

Um einen KI-Assistenten wie Claude oder ChatGPT zu verbinden, brauchen Sie kein Token: siehe KI-Tools verbinden (Claude, ChatGPT).

Ein Token erstellen

1. Öffnen Sie Profil → Sicherheit und gehen Sie zu API-Tokens.
2. Geben Sie einen Token-Name ein, der sagt, wo das Token verwendet wird, etwa den Namen der Integration. Er darf bis zu 32 Zeichen lang sein. Ohne Namen heißt das Token „API-Token“.
3. Wählen Sie Token erstellen.

Flowtly zeigt das Token danach ein einziges Mal an. Wählen Sie das Kopiersymbol und bewahren Sie es sicher auf, etwa in einem Passwortmanager oder im Geheimnisspeicher der Integration, bevor Sie Fertig wählen. Flowtly behält keine Kopie, die es Ihnen erneut zeigen könnte: Sobald das Fenster geschlossen ist, kann das Token weder von Ihnen noch von jemand anderem wieder abgerufen werden. Geht es verloren, widerrufen Sie es und erstellen ein neues.

Wie lange ein Token gilt

Ein hier erstelltes Token gilt 365 Tage ab dem Moment der Erstellung. Das ist die Standardlaufzeit, und 730 Tage sind die längste Laufzeit, für die Flowtly ein Token ausstellt; kein Token bleibt also unbegrenzt gültig. Ein Token lässt sich nicht verlängern: Erstellen Sie vor dem Ablauf ein neues, geben Sie es der Integration und widerrufen Sie dann das alte.

Die Liste API-Tokens zeigt jedes Ihrer Tokens mit seinem Namen, dem Datum, an dem es abläuft (oder abgelaufen ist), und wann es zuletzt verwendet wurde. Ein abgelaufenes Token bleibt in der Liste, bis Sie es widerrufen. Ein Token, das seit Monaten nicht verwendet wurde, ist ein guter Kandidat zum Widerrufen.

Ein Token widerrufen

Wählen Sie das Papierkorb-Symbol neben einem Token, um es zu widerrufen. Es gibt keine Rückfrage.

Der Widerruf wirkt sofort: Schon die nächste Anfrage mit diesem Token wird abgelehnt, statt dass das Token bis zu seinem Ablaufdatum weiterläuft. Ein widerrufenes Token lässt sich nicht wiederherstellen; wird es noch gebraucht, erstellen Sie ein neues.

Manches beendet Ihre Tokens, ohne dass Sie sie widerrufen:

• Ein Zurücksetzen des Passworts. Wenn Sie Ihr Passwort zurücksetzen, hören alle Tokens auf zu funktionieren, die Sie davor erstellt haben, zusammen mit Ihren anderen Sitzungen. Sie bleiben in der Liste stehen, als wären sie noch gültig: Widerrufen Sie sie daher ebenfalls und erstellen Sie neue Tokens für Ihre Integrationen.
• Ein deaktiviertes Konto. Wird Ihr Flowtly-Konto deaktiviert, funktioniert keines der Tokens mehr, die Sie erstellt haben, solange das Konto deaktiviert bleibt. Widerrufen Sie sie, wenn sie nicht zurückkommen sollen.

Niemand sonst kann sie über sein eigenes Profil → Sicherheit auflisten oder widerrufen.

Beispielhafte Anwendungsfälle

• Eine Teamleiterin verbindet ein Skript zur Zeiterfassung über ein Token mit Flowtly, benannt nach dem Skript und in dessen geheimen Einstellungen gespeichert.
• Ein Berater, der ein Token an der falschen Stelle eingefügt hat, widerruft es sofort, weil er weiß, dass es bei der nächsten Verwendung nicht mehr funktioniert.
• Ein Administrator setzt sich elf Monate nach dem Erstellen des Tokens einer Integration eine Erinnerung und ersetzt es, bevor die 365 Tage ablaufen.
• Bevor sie einem externen Tool ein Token gibt, prüft eine Managerin, was ihr eigenes Konto erreichen kann, denn das Tool erreicht genau dasselbe.