Frontend-Schlüssel

Ein Frontend-Schlüssel ist ein Geheimnis, das eine Organisation einem Frontend ausstellt, damit das eigene Backend des Frontends die Mitglieder-API des Studios aufrufen kann. Er authentifiziert das Backend, nicht eine Person: Ein Aufruf mit ihm braucht keinen angemeldeten Benutzer, etwa die Frage, ob ein Antragsteller ein berechtigtes Mitglied ist.

Der Schlüssel bestimmt alles über den Aufrufer: die Organisation, das Frontend und damit die Community des Frontends. Nichts in einer Anfrage kann eine andere Organisation oder ein anderes Frontend nennen.

Warum ein Schlüssel und nicht OAuth

Der OAuth-Weg, einen Server zu authentifizieren, ist der Grant client_credentials, den der OAuth-Server des Studios nicht anbietet. Deshalb erhält jedes Frontend stattdessen einen eigenen Frontend-Schlüssel:

• im Studio ausgestellt und einmal angezeigt;
• vom Studio nur als Hash gespeichert, mit seinen ersten Zeichen zum Wiedererkennen;
• bis zu zwei gleichzeitig aktiv, damit Sie ohne Unterbrechung auf einen neuen Schlüssel wechseln können;
• sofort widerrufen, wenn Sie ihn nicht mehr brauchen.

Das ist der dauerhafte Mechanismus, keine Übergangslösung. Client-Secret und Frontend-Schlüssel sind verschiedene Geheimnisse: das Client-Secret nur für den Token-Endpunkt von Login with appsolut, der Frontend-Schlüssel nur für die Mitglieder-API.

Wie er aussieht

ofk_3f9a1c2b7d4e_<64 hexadezimale Zeichen>

ofk_, dann ein 12-stelliges Präfix, das das Studio auf der Karte „Schlüssel“ des Frontends zeigt, dann das Geheimnis.

In diesem Abschnitt

• Einen Schlüssel ausstellen und aufbewahren: einen Schlüssel im Studio ausstellen und auf Ihrem Server aufbewahren.
• Einen Schlüssel senden: der Header und die Antworten auf einen abgewiesenen Schlüssel.
• Wechseln und widerrufen: ohne Unterbrechung auf einen neuen Schlüssel wechseln und einen widerrufen.