Wie funktioniert die Sicherheit der API?

Für den Webservice gelten verschiedene Sicherheitsniveaus. Es gibt öffentliche Datensammlungen und Methoden sowie gesicherte Sammlungen und Methoden. Dies wird auf den verschiedenen Seiten der Anleitungen angegeben. Bei gesicherten Methoden muss angemeldet sein und der angemeldete Client muss die erforderlichen Rechte besitzen.

Die verschiedenen Niveaus erläutert:

• Anonyme Nutzung - die Methoden, die öffentlich sind, können ohne jegliche Form der Authentifizierung aufgerufen werden. Meistens sind dies Methoden, die Daten verwenden, die auf der Website ebenfalls öffentlich sind. Dies betrifft beispielsweise das Abrufen der verfügbaren Objekte.
  Hinweis: Durch das Einstellen eines API-Keys werden die anonymen Aufrufe gesichert. Nachdem der API-Key eingestellt wurde, muss dieser bei allen anonymen Abfragen übergeben werden.
• Benutzerniveau - der Benutzer muss angemeldet sein und arbeitet mit seinen/ihren eigenen Daten. Die Anmeldung erfolgt über die REST-Schnittstelle, siehe die user-Entität. Für einen derartigen Benutzer sind keine Profile erforderlich. Dies ist vergleichbar mit einer Website, in der ein „persönlicher Bereich“ enthalten ist. Beispielsweise die Anzeige der eigenen Daten oder einer Liste mit Buchungen, die der Benutzer selbst erstellt hat.
• Administratorniveau - der Benutzer muss angemeldet sein und muss ein Autorisierungsprofil besitzen. Abhängig von den in diesem Profil verfügbaren Rechten hat der Benutzer die Möglichkeit, Daten abzurufen und/oder zu manipulieren. Auf diese Weise könnte eine vollständige Administrator-Anwendung gebaut werden.

Methoden der Authentifizierung

Die Benutzerniveaus - höher als die anonyme Nutzung - sind auf verschiedene Weisen erreichbar.

• Anmeldung über die API
  Die API selbst kann verwendet werden, um eine Sitzung zu erstellen.
  Dies geschieht über die API - User.
  Verwenden Sie hierfür die Methode POST user/login. Achten Sie auf die Verwendung des Attributs admin. Setzen Sie dieses auf true für eine Administrator-Anmeldung.
• Basic Auth
  Eine Methode, die bei REST-APIs häufig verwendet wird.
  Für allgemeine Informationen siehe: Open API
  Verwenden Sie den Benutzernamen + das Passwort, mit dem Sie sich auch im Verwaltungspanel anmelden.
• Oauth 2
  Für allgemeine Informationen siehe: Open API
  Detailschritte sind hier beschrieben.