Schlüssel und Berechtigungen

Jede Anfrage trägt den API-Schlüssel Ihres Unternehmens im Header Authorization:

Authorization: Bearer ocost_sk_<id>_<secret>

curl -sS https://api.ocost.io/public/v1/files \
  -H "Authorization: Bearer $OCOST_KEY"

import requests

session = requests.Session()
session.headers["Authorization"] = f"Bearer {key}"
files = session.get("https://api.ocost.io/public/v1/files", timeout=15).json()

const files = await fetch('https://api.ocost.io/public/v1/files', {
  headers: { Authorization: `Bearer ${key}` },
}).then((r) => r.json());

Schlüssel

Inhaber oder Buchhaltung erstellen Schlüssel unter Einstellungen › API. Ocost zeigt einen Schlüssel einmal und speichert nur einen Fingerabdruck. Verlieren Sie einen Schlüssel, widerrufen Sie ihn und erstellen Sie einen neuen.

Der Anfang eines Schlüssels, ocost_sk_<id>_, ist nicht geheim. Die Einstellungen listen Schlüssel danach, mit Berechtigungen und letzter Nutzung. Secret-Scanner erkennen am Präfix ocost_sk_ ein Leck.

Ein Schlüssel gehört zu einem Unternehmen. Eine Odoo-Firma ist ein Unternehmen mit eigenem Schlüssel. Ein Unternehmen hat höchstens 10 gültige Schlüssel. Ein Schlüssel kann auch an einem Datum ablaufen.

Halten Sie Schlüssel auf Ihrem Server. Legen Sie nie einen in einen Browser, eine mobile App oder ein Log.

Einen Schlüssel wechseln

1. Erstellen Sie einen neuen Schlüssel mit denselben Berechtigungen.
2. Stellen Sie Ihre Software auf ihn um.
3. Widerrufen Sie den alten Schlüssel. Ocost lehnt ihn ab der nächsten Anfrage ab.

Berechtigungen

Ein Schlüssel darf nur, was seine Berechtigungen erlauben. Einstellungen › API hakt für einen neuen Schlüssel die ersten drei vor.

MCP-Werkzeuge listet jedes Werkzeug unter seiner Berechtigung.

Kein Schlüssel liest je Personalunterlagen wie Lohnabrechnungen, Gehaltslisten oder Gesundheitsunterlagen.

Ablehnungen