Authentifizierung und API-Schlüssel

Ihre API-Schlüssel sind der Zugang zu Ihrem Konto. Behandeln Sie sie mit derselben Sorgfalt wie das Passwort Ihrer Datenbank.

Wo sie erzeugt werden

Aktivieren Sie den Entwicklermodus (Ihr Konto › Präferenzen) und öffnen Sie den Tab Schlüssel der Entwickler-Workbench – die Schaltfläche, die unten in der Ecke des Bildschirms erscheint (/app?wb=api). Dort erstellen Sie neue Schlüssel, wählen ihren Umfang (Lesen oder Schreiben) und widerrufen sie. Der geheime Schlüssel wird beim Erstellen nur einmal angezeigt; bewahren Sie ihn in einem Secret-Manager auf, niemals im Quellcode.

Authentifizierung

Die API ist eine REST-API über HTTPS. Jede Anfrage trägt Ihren Schlüssel im Header Authorization:

curl https://cordhq.app/api/v1/me \
  -H "Authorization: Bearer sk_live_your_key"

Antwort:

{ "org": { "id": "...", "nombre": "Your Business", "plan": "pro" }, "scope": "write", "mode": "live" }

Umgebungen (Live und Test)

Beim Erstellen eines Schlüssels wählen Sie seinen Modus:

• Test (sk_test_...): Belastet Ihren API-Nutzungszähler nicht und zählt nicht für Ihre Abrechnung. Arbeitet in der Testumgebung Ihres Kontos (einer gespiegelten Organisation, getrennt von Ihren echten Daten – derselbe Mechanismus wie der Schalter „Testumgebung“ in der Organisationsauswahl). Der erste Aufruf mit einem Testschlüssel legt diese gespiegelte Organisation an, falls sie noch nicht existiert. Ob die CFDI-Stempelung echt oder simuliert ist, hängt davon ab, ob Sie Ihr CSD verbunden haben, nicht vom Modus des Schlüssels. Siehe Cord testen, ohne Ihren Live-Betrieb zu beeinträchtigen.
• Live (sk_live_...): Verwenden Sie ihn im Produktivbetrieb. Jeder Aufruf zählt zum Verbrauch Ihres Tarifs.

Berechtigungsumfang (Scopes)

• Lesen (read): Angebote, Kunden, Produkte und offene Forderungen abfragen.
• Schreiben (write): Kann zusätzlich Angebote, Kunden und Produkte erstellen.

Autorisierte Verbindungen

Zapier und Make verwenden keine Schlüssel: Sie verbinden sich mit einem Klick auf einem Bildschirm von Cord. Jede Verbindung erscheint in derselben Liste als Autorisierte Verbindung mit dem Namen der App und zählt nicht zur Anzahl der Schlüssel Ihres Tarifs. Um einer App den Zugriff zu entziehen, widerrufen Sie ihre Verbindung genau wie einen Schlüssel; die App fordert Sie dann auf, sie erneut zu autorisieren.

Rotation von Schlüsseln

Wenn ein Schlüssel offengelegt wurde (z. B. versehentlich auf GitHub hochgeladen) oder einfach ausgetauscht werden soll:

1. Öffnen Sie den Tab Schlüssel der Workbench (aktivieren Sie sie unter Ihr Konto › Präferenzen, falls Sie sie nicht sehen).
2. Klicken Sie beim Schlüssel auf Rotieren. Cord erzeugt einen neuen Schlüssel und lässt Sie wählen, wie lange der alte weiter funktioniert: gar nicht, 1 Stunde, 24 Stunden oder 7 Tage, damit Sie Ihre Server umstellen können, ohne den Datenverkehr zu unterbrechen.
3. Wenn der Schlüssel offengelegt wurde, rotieren Sie ihn ohne Übergangsfrist oder widerrufen Sie ihn: Der Widerruf wirkt sofort, und jede Anfrage mit diesem Schlüssel erhält 401.