Authentifizierung

WeZend verwendet zwei Arten von Zugangsdaten, und die meisten Endpoints auf Kontoebene akzeptieren beide.

API-Keys (Server-zu-Server)

Senden Sie Ihren Key im Header X-API-Key. Keys sind an Ihr Konto gebunden und für Backend-zu-Backend-Aufrufe gedacht.

curl https://api.wezend.com/v1/account/me \
  -H "X-API-Key: $WEZEND_API_KEY"

JWT-Bearer-Token (Dashboard-Sessions)

Interaktive Sessions authentifizieren sich mit einem JWT aus POST /v1/auth/login, optional gefolgt von POST /v1/auth/mfa/verify, wenn TOTP-MFA für das Konto aktiviert ist.

curl https://api.wezend.com/v1/account/me \
  -H "Authorization: Bearer $WEZEND_JWT"

Endpoints, die beides akzeptieren

Eine Reihe von Endpoints — Nachrichten senden, Kontodaten lesen, eine Integration anlegen — nutzt „flexible Auth": Sie versuchen zuerst X-API-Key und greifen dann auf ein Bearer-JWT zurück, sodass derselbe Integrationscode funktioniert, egal ob er aus Ihrem Backend aufgerufen oder aus dem Dashboard ausgelöst wird. Endpoints unter /v1/admin/* sowie Partner- und Agentur-Endpoints sind die Ausnahme — sie sind intern und nur für Mitarbeitende und Agenturen bestimmt, nicht Teil der kundenseitigen API-Oberfläche.

Keys rotieren

Rotieren Sie einen Key über Einstellungen → API-Keys → Rotieren (POST /v1/account/keys/:id/rotate). Der alte Key bleibt während einer 24-stündigen Übergangsfrist gültig, sodass Sie ohne Betriebsunterbrechung mit dem neuen Key neu ausrollen können.

Geben Sie einen API-Key niemals an einen Browser oder eine mobile App weiter — alles, was auf einem Gerät läuft, das Sie nicht kontrollieren, kann ausgelesen werden. Rufen Sie WeZend aus Ihrem eigenen Backend auf oder verwenden Sie den öffentlichen Tracking-Key, der in Events tracken beschrieben ist und bewusst nur schreiben kann und im Browser sicher ist.