Sie können API-Schlüssel für die Flowella REST API unter Einstellungen → API-Schlüssel erstellen, anzeigen, drehen und widerrufen.
Mit API-Schlüsseln können Skripte, No-Code-Tools und Ihre eigenen Backend-Dienste die Flowella REST-API im Namen Ihrer Organisation aufrufen. Auf dieser Seite erfahren Sie, wie Sie Schlüssel über den In-App-Bildschirm Einstellungen → API-Schlüssel verwalten können.Was die API leisten kann, erfahren Sie in der API-Referenz.
Nur die Rollen Owner oder Admin sehen Einstellungen → API-Schlüssel. Mitglieder haben keinen Zugriff auf diesen Bildschirm und können keine API-Endpunkte aufrufen.
Gehen Sie in der linken Navigation auf Einstellungen → API-Schlüssel.
2
Klicken Sie auf Schlüssel erstellen
Geben Sie dem Schlüssel ein Label, das beschreibt, wofür er gedacht ist (zum Beispiel n8n production, analytics export script). Labels sind nur innerhalb von Flowella sichtbar - sie werden nicht in API-Anfragen gesendet.
3
Wählen Sie einen Bereich (optional)
Standardmäßig erben Schlüssel den gesamten Satz der für Ihren Plan verfügbaren API-Endpunkte. Sie können einen Schlüssel optional auf eine Teilmenge von Bereichen beschränken - zum Beispiel nur Analysen lesen oder Nachrichten: nur senden.
4
Kopieren Sie das Geheimnis sofort
Flowella zeigt das geheime Token exakt einmal in einem Bestätigungsmodal an. Kopieren Sie es jetzt - Sie können es nicht noch einmal sehen. Wenn Sie ihn verlieren, müssen Sie den Schlüssel widerrufen und einen neuen erstellen.
Das Geheimnis wird nur einmal angezeigt. Flowella speichert eine gehashte Kopie und kann den Klartext nicht wiederherstellen. Behandeln Sie Schlüssel wie Passwörter - übertragen Sie sie nie in die Versionsverwaltung, fügen Sie sie nie in Chats oder freigegebene Dokumente ein.
Es gibt keine Rotation an Ort und Stelle - Sie erstellen einen neuen Schlüssel und widerrufen den alten, sobald Ihr Dienst umgeschaltet hat.
1
Einen Ersatz erstellen
Folgen Sie dem obigen Erstellen-Fluss, um einen neuen Schlüssel mit demselben Geltungsbereich zu erstellen.
2
Verraten Sie das neue Geheimnis
Aktualisieren Sie Ihren Dienst (oder n8n-Workflow, Postman-Umgebung usw.), um das neue Inhaber-Token zu verwenden.
3
Bestätigen Sie, dass der neue Schlüssel aktiv ist
Achten Sie auf das Feld Last used at des neuen Schlüssels - es wird innerhalb einer Minute nach dem ersten Aufruf aktualisiert.
4
Widerrufen Sie den alten Schlüssel
Klicken Sie auf Rückgängig machen für den vorherigen Schlüssel. Ab diesem Zeitpunkt liefert jede Anfrage, die das alte Geheimnis verwendet, 401 Unauthorized.
Klicken Sie in der Zeile auf Widerrufen und bestätigen Sie dann im Dialog. Der Widerruf erfolgt unmittelbar - laufende Anfragen mit diesem Schlüssel können abgeschlossen werden, aber die nächste Anfrage liefert 401.Ein widerrufener Schlüssel kann nicht reaktiviert werden. Die Zeile bleibt in der Liste sichtbar (ausgegraut, mit dem Zeitstempel des Widerrufs), so dass Sie einen Prüfpfad haben.
Jedes Erstellungs-, Widerrufs- und (sofern aktiviert) Geltungsbereichs-Änderungsereignis wird zusammen mit Ihrem Benutzer, Ihrer IP und dem Verfolgungskontext in das Prüfprotokoll von org geschrieben. Wenn Ihr Plan oder Vertrag die Audit-Protokollfunktion umfasst, können Sie die API-Schlüsselaktivitäten dort überprüfen.
Es gibt keine feste Grenze für Hobby- oder kostenpflichtige Pläne, aber eine sehr große Anzahl aktiver Schlüssel (50+) erschwert die Rotation und Überprüfung. Verwenden Sie lieber einen Schlüssel pro Integration als einen pro Entwickler.
Laufen API-Schlüssel ab?
Schlüssel laufen nicht automatisch ab. Wir empfehlen, sie mindestens alle 12 Monate zu rotieren und sofort, wenn ein Schlüssel möglicherweise ausgesetzt wurde.
Kann ich einen Schlüssel auf einen bestimmten WhatsApp-Kanal anwenden?
Derzeit sind die Schlüssel auf die Organisation beschränkt, nicht auf einen bestimmten Channel. Die Zuweisung auf Channel-Ebene ist in Planung. In der Zwischenzeit wählen Sie den aktiven Kanal über die Nutzlast der Anfrage oder den Pfad.
Ein Schlüssel wurde in ein öffentliches Repo übertragen - was soll ich tun?
Widerrufen Sie ihn sofort von dieser Seite. Erstellen Sie einen Ersatz mit demselben Umfang. Prüfen Sie das Audit-Protokoll auf alle Anfragen, die den Schlüssel in der Zeit, in der er ausgesetzt war, verwendet haben, und drehen Sie alle nachgelagerten Geheimnisse, die dieser Schlüssel möglicherweise erstellt hat (z.B. Webhook-Signierschlüssel).