Die Leadfeeder API unterstützt zwei Wege, Deine Anfragen zu authentifizieren: Du kannst einen persönlichen API-Schlüssel verwenden oder auf OAuth 2.0 setzen.
Beide geben Dir Zugriff auf dieselbe API. Sie eignen sich nur für unterschiedliche Situationen.
API-Schlüssel oder OAuth
Ein API-Schlüssel ist an eine Person gebunden. Er übernimmt deren Berechtigungen, läuft nicht von selbst ab und wird bei jeder Anfrage im x-api-key-Header übermittelt. Das ist der schnellste Einstieg und eignet sich gut für ein Skript, einen einmaligen Datenexport oder ein internes Tool, das nur Du nutzt.
OAuth ist an eine Anwendung gebunden. Du registrierst die Anwendung einmal in Leadfeeder, und jede Person, die sie nutzen möchte, meldet sich mit ihrem eigenen Leadfeeder-Konto an und bestätigt die angeforderten Zugriffsrechte. Die Anwendung erhält dafür einen kurzlebigen Access Token statt dauerhafter Zugangsdaten.
Nutze OAuth, wenn einer der folgenden Punkte auf Dich zutrifft:
Die Integration wird von mehr als einer Person in Deiner Firma genutzt.
Du baust etwas, das Leadfeeder mit einem anderen System verbindet, zum Beispiel einem CRM oder einer internen Anwendung.
Dein Security-Team möchte keine langlebigen Zugangsdaten in Produktivsystemen speichern.
Du willst genau festlegen, was die Integration lesen und schreiben darf.
Das bringt Dir OAuth
Zugriff mit klar begrenztem Umfang. Bei der Registrierung einer Anwendung legst Du fest, welche Scopes sie nutzen darf. Eine Anwendung mit „Firmen ansehen" kann ausschließlich Firmendaten lesen. Sie kommt nicht an Deine Listen, Kontakte oder benutzerdefinierten Felder heran.
Token mit Ablaufdatum. Access Tokens sind kurzlebig. Gelangt einer davon in falsche Hände, bleibt das Risiko gering. Ein Refresh Token sorgt dafür, dass die Integration weiterläuft, ohne dass sich jemand erneut anmelden muss.
Zugriff, der Personalwechsel übersteht. Die Anwendung gehört der Firma, nicht dem Schlüssel einer einzelnen Person. Wechselt jemand die Rolle, musst Du keinen persönlichen Zugangsschlüssel austauschen.
Sichtbare Zustimmung. Bevor eine Anwendung Zugriff erhält, sieht die autorisierende Person den Namen der Anwendung, ihr Logo und die Liste der angeforderten Berechtigungen.
Das bleibt gleich
OAuth ersetzt API-Schlüssel nicht. Bestehende Integrationen mit API-Schlüssel funktionieren weiterhin genau wie bisher, und Du kannst beide Methoden parallel nutzen.
Außerdem verschafft OAuth keinen größeren Zugriff, als die autorisierende Person ohnehin schon hat. Jede Anfrage wird doppelt geprüft: Der Token braucht den passenden Scope, und die angemeldete Person braucht die entsprechende Berechtigung in der Plattform. Fehlt eines von beidem, wird die Anfrage abgelehnt.
Das wird noch nicht unterstützt
Öffentliche Anwendungen. In dieser Version stehen nur interne Anwendungen zur Verfügung. Öffentliche Anwendungen für Drittanbieter, die in einem Marketplace veröffentlicht werden, folgen später.
Client Credentials. Leadfeeder unterstützt ausschließlich den Authorization-Code-Grant. Die API arbeitet auf Ebene einzelner Personen, jeder Aufruf erfolgt also im Namen einer angemeldeten Person.
Nächste Schritte
--
Fragen, Kommentare oder Feedback? Melde Dich gerne bei unserem Support-Team per Chat oder per E-Mail an support@leadfeeder.