Token

Tokens sind Anmeldedaten, die zur Autorisierung von Anfragen an die Altium 365 API verwendet werden. Alle API-Anfragen müssen ein gültiges Token im Authorization-Header enthalten.

Tokens werden in Ihrem Workspace unter Admin → Developer erstellt. Nur Workspace-Administratoren können Tokens erstellen.

Token-Typen

Es stehen zwei Arten von Tokens zur Verfügung, die sich in ihrer Verwendung und den jeweiligen Sicherheitsabwägungen unterscheiden.

Zugriffstoken mit langer Gültigkeitsdauer

Ein einzelner Berechtigungsnachweis, der direkt als Bearer-Token in API-Anfragen verwendet wird. Seine Gültigkeitsdauer legen Sie bei der Erstellung fest – bis zu 1 Jahr.

Authorization: Bearer {token}

Dies ist die einfachere Option: ein einzelner Wert, der direkt verwendet wird. Sie eignet sich gut für Skripte, Automatisierung und lokale Entwicklung, bei denen Benutzerfreundlichkeit wichtiger ist als die Rotation von Anmeldedaten.

Die wichtigste Einschränkung ist, dass sich der Token-Wert während seiner gesamten Laufzeit nicht ändert. Wenn er offengelegt wird, bleibt er gültig, bis er abläuft oder manuell widerrufen wird.

Refresh Token

Eine sicherere Option, bei der der langlebige Berechtigungsnachweis von dem kurzlebigen getrennt wird, der in API-Anfragen verwendet wird. Bei der Erstellung erhalten Sie drei Werte:

• Client ID – identifiziert den Token-Client

• Client secret – authentifiziert den Token-Client

• Refresh token – der langlebige Berechtigungsnachweis

Diese tauschen Sie durch Aufruf des Token-Endpunkts gegen ein kurzlebiges access token aus. Das Zugriffstoken verwenden Sie in API-Anfragen. Wenn es abläuft, fordern Sie mit demselben Refresh Token ein neues an.

Das Refresh Token hat eine konfigurierbare Gültigkeitsdauer von bis zu 1 Jahr. Die von ihm erzeugten Zugriffstokens sind kurzlebig.

Dieser Ansatz eignet sich besser für Produktionsintegrationen:

• Der Berechtigungsnachweis, der mit jeder API-Anfrage übertragen wird (das Zugriffstoken), ist kurzlebig

• Das langlebige Geheimnis (das Refresh Token) bleibt in Ihrem sicheren Speicher und wird niemals direkt an die API gesendet

Siehe Verwendung eines Refresh Token für den Ablauf des Token-Austauschs.

Auswahl eines Token-Typs

Scopes

Jedes Token ist mit einer Reihe von OAuth scopes verknüpft, die festlegen, welche API-Operationen damit autorisiert werden können. Scopes werden bei der Erstellung des Tokens konfiguriert und können danach nicht mehr geändert werden.

Siehe OAuth-Scopes für die vollständige Liste der verfügbaren Scopes und deren Zuordnung zu den API-Funktionen.

Token-Gültigkeitsdauer

Beide Token-Typen haben eine konfigurierbare Gültigkeitsdauer von bis zu 1 Jahr, die bei der Erstellung festgelegt wird. Es gibt keine automatische Verlängerung – sobald ein Token abläuft, muss ein neues erstellt werden.

Bei Refresh Tokens gilt die Gültigkeitsdauer für das Refresh Token selbst. Die von ihm erzeugten Zugriffstokens haben eine kürzere, feste Gültigkeitsdauer.

Widerrufen eines Tokens

Tokens können jederzeit über Admin → Developer widerrufen werden. Das Widerrufen eines Tokens macht es sofort ungültig – alle API-Anfragen, die dieses Token verwenden, schlagen mit einem Autorisierungsfehler fehl.