Token

Tokens sind Anmeldedaten, die zur Autorisierung von Anfragen an die Altium 365 API verwendet werden. Alle API-Anfragen müssen ein gültiges Token im Authorization-Header enthalten.

Tokens werden in Ihrem Workspace unter Admin → Developer erstellt. Nur Workspace-Administratoren können Tokens erstellen.

Token-Typen

Es stehen zwei Arten von Tokens zur Verfügung, die sich in ihrer Verwendung und den jeweiligen Sicherheitsabwägungen unterscheiden.

Zugriffstoken mit langer Laufzeit

Eine einzelne Anmeldeinformation, die direkt als Bearer-Token in API-Anfragen verwendet wird. Die Laufzeit wird bei der Erstellung konfiguriert – bis zu 1 Jahr.

Authorization: Bearer {token}

Dies ist die einfachere Option: ein einzelner Wert, der direkt verwendet wird. Sie eignet sich gut für Skripte, Automatisierung und lokale Entwicklung, bei denen die einfache Nutzung wichtiger ist als die Rotation von Anmeldedaten.

Die Hauptbeschränkung besteht darin, dass sich der Token-Wert während seiner gesamten Laufzeit nicht ändert. Wenn er offengelegt wird, bleibt er gültig, bis er abläuft oder manuell widerrufen wird.

Refresh Token

Eine sicherere Option, bei der die langlebige Anmeldeinformation von der kurzlebigen Anmeldeinformation getrennt wird, die in API-Anfragen verwendet wird. Bei der Erstellung erhalten Sie drei Werte:

• Client ID – identifiziert den Token-Client

• Client secret – authentifiziert den Token-Client

• Refresh token – die langlebige Anmeldeinformation

Diese tauschen Sie durch Aufruf des Token-Endpunkts gegen ein kurzlebiges access token aus. Das Zugriffstoken verwenden Sie in API-Anfragen. Wenn es abläuft, fordern Sie mit demselben Refresh Token ein neues an.

Das Refresh Token hat eine konfigurierbare Laufzeit von bis zu 1 Jahr. Die daraus erzeugten Zugriffstokens sind kurzlebig.

Dieser Ansatz eignet sich besser für Produktivintegrationen:

• Die Anmeldeinformation, die mit jeder API-Anfrage übertragen wird (das Zugriffstoken), ist kurzlebig

• Das langlebige Geheimnis (das Refresh Token) bleibt in Ihrem sicheren Speicher und wird nie direkt an die API gesendet

Siehe Verwendung eines Refresh Token für den Ablauf des Token-Austauschs.

Auswahl eines Token-Typs

Scopes

Jedes Token ist mit einem Satz von OAuth scopes verknüpft, die festlegen, welche API-Operationen damit autorisiert werden können. Scopes werden bei der Erstellung des Tokens konfiguriert und können danach nicht mehr geändert werden.

Siehe OAuth Scopes für die vollständige Liste der verfügbaren Scopes und deren Zuordnung zu den API-Funktionen.

Token-Laufzeit

Beide Token-Typen haben eine konfigurierbare Laufzeit von bis zu 1 Jahr, die bei der Erstellung festgelegt wird. Es gibt keine automatische Verlängerung – sobald ein Token abläuft, muss ein neues erstellt werden.

Bei Refresh Tokens gilt die Laufzeit für das Refresh Token selbst. Die daraus erzeugten Zugriffstokens haben eine kürzere, feste Laufzeit von 1 Stunde.

Widerrufen eines Tokens

Tokens können jederzeit unter Admin → Developer widerrufen werden. Durch den Widerruf eines Tokens wird es sofort ungültig – alle API-Anfragen, die dieses Token verwenden, schlagen mit einem Autorisierungsfehler fehl.