Authentifizierung und Berechtigungen
Jede Anfrage trägt einen API-Schlüssel, als Authorization: Bearer <Schlüssel> oder X-API-Key: <Schlüssel>.
Schlüssel erstellen Sie im Portal (oder mit POST /api-keys durch einen Schlüssel mit Berechtigung admin); sie
werden einmal angezeigt und nur als Prüfsumme gespeichert. Widerrufen Sie einen Schlüssel sofort, wenn er bekannt
geworden ist; höchstens 20 aktive Schlüssel pro Konto.
Live- und Testschlüssel
- Live-Schlüssel (
fkn_…) stellen echte Rechnungen aus: revisionssicher archiviert (GoBD), nach Tarif gezählt. - Testschlüssel (
fkn_test_…) erreichen nur die Sandbox. Sie haben nur die Berechtigunginvoices.
Berechtigungen
invoices: ausstellen, lesen, prüfen, eingehende Rechnungen prüfen, zustellen, empfangene Dokumente, Verbrauch, Verkäufer lesen.admin: API-Schlüssel, Verkäufer anlegen und ändern, Webhooks, Verkäufer lesen.
Ein Schlüssel ohne die nötige Berechtigung erhält 403 auth.insufficient-scope. Geben Sie Ihren Produktivsystemen
einen invoices-Schlüssel und nutzen Sie admin-Schlüssel nur zur Einrichtung. Der letzte aktive Live-Schlüssel
und der letzte admin-Schlüssel lassen sich nicht widerrufen.
Fehler
401 auth.invalid-api-key: Schlüssel fehlt, ist falsch oder widerrufen.429 auth.too-many-failures: zu viele ungültige Schlüssel von Ihrer Adresse; warten Sie eine Minute.429 rate-limit.exceeded/rate-limit.concurrency: siehe Tarife und Grenzen.
Legen Sie Schlüssel nie in einen Browser, eine App oder ein Repository: Rufen Sie die API von Ihrem Server auf.