Die Plattform. Auch per API.

0:20 Worum es geht

Deine Warenwirtschaft, dein Shop, deine Buchhaltung oder eine eigene Anwendung: Viele Systeme sollen mit FLAMOX365 zusammenarbeiten. Dieses Video erklärt die Schnittstelle aus der Sicht von jemandem, der sie anbindet. Wie du die fertigen Verbindungen in den Einstellungen einrichtest, zeigt das Video Integrationen.

0:45 Das Prinzip

Das Prinzip ist einfach. Das Portal selbst arbeitet über die zentrale API von FLAMOX365. Genau diese Schnittstelle steht auch deinen Systemen offen, mit denselben Fachfunktionen und denselben Prüfungen. Es gibt keine Sonderwege und keine Hintertüren. Weder das Portal noch eine Integration greift direkt auf die Datenbank oder den Dokumentenspeicher zu.

1:15 Jede Anfrage geprüft

Jede Anfrage prüft der Server in fester Reihenfolge. Zuerst die Anmeldung, bei einem Fremdsystem also den API-Schlüssel. Dann die Fachberechtigung. Verlangt eine Aktion mehrere Rechte, müssen alle vorliegen. Und zuletzt den Tarif, wenn die Aktion daran gebunden ist. Ein Datensatz einer anderen Organisation bleibt dabei unsichtbar: Der Server verhält sich so, als gäbe es ihn nicht. Ein Schlüssel kann deshalb nie mehr als das Portal.

1:49 Eine Anfrage

So sieht eine Anfrage aus. Dein System schickt den API-Schlüssel bei jeder Anfrage im Kopffeld Authorization mit. Ein Schlüssel beginnt immer mit flx und einem Unterstrich. Hier holt das System die Aufgaben ab, zwanzig auf einmal. Die Antwort kommt nach derselben Prüfung wie im Portal: Die Einträge, ihre Gesamtzahl und die Angaben zum Weiterblättern. Wird eine Anfrage abgewiesen, sagt die Antwort auch, warum. Status 401 heißt: Der Schlüssel ist unbekannt, deaktiviert oder abgelaufen, oder seine Organisation ist nicht mehr aktiv. Status 429 heißt: Der Schlüssel hat in dieser Minute zu viele Anfragen gestellt.

2:40 Anfragen pro Minute

Die Grenze liegt bei 600 Anfragen pro Minute, gezählt je Schlüssel und nicht je Organisation. Verfängt sich ein Fremdsystem in einer Schleife, bremst es nur sich selbst aus und nicht die Menschen, die daneben im Portal arbeiten. Die Grenze ist ein Schutz und kein gekauftes Kontingent, sie gilt in jedem Tarif gleich. Braucht eine Anbindung dauerhaft mehr, fragt sie zu oft nach. Besser holt sie Änderungen gebündelt ab.

3:13 API-Schlüssel

API-Schlüssel gibt es auf drei Ebenen. Ein persönlicher Schlüssel folgt der Person, der er gehört, und arbeitet immer mit den Rechten, die sie gerade hat. Ein Organisationsschlüssel ist für Anbindungen ohne persönliche Zuordnung da, etwa für die Buchhaltung oder einen nächtlichen Abgleich. Und ein Plattformschlüssel erledigt ausgewählte Verwaltungsaufgaben der ganzen Plattform. Persönliche und organisationsweite Schlüssel sind in allen Tarifen enthalten. Deinen persönlichen Schlüssel legst du selbst an, unter Zugang und Präferenzen, Zugang, API Keys. Nur du siehst ihn, auch ein Administrator deiner Organisation nicht. Ändern sich deine Rolle oder deine Rechte, gilt das sofort auch für den Schlüssel. Organisationsschlüssel verwaltest du unter Organisation, Identitäten und Zugänge, API Keys. Dafür brauchst du das Recht API Keys, das standardmäßig der Mandanten Administrator hat. Du wählst eine Rolle, vorbelegt ist Mitarbeiter, und ergänzt bei Bedarf einzelne Rechte. Mehr, als du selbst darfst, kannst du dabei nicht weitergeben. Der Schlüssel bleibt auf deine Organisation begrenzt. Ein Plattformschlüssel hat bewusst keine Rolle. Er bekommt nur die Systemrechte, die einzeln ausgewählt werden, hier zum Beispiel die Plattform-Webhooks. Alle Rechte eines Super-Administrators erhält er nie automatisch. Das Geheimnis eines Schlüssels siehst du genau einmal, direkt nach dem Anlegen oder nach einer Rotation. FLAMOX365 speichert davon nur einen nicht umkehrbaren Prüfwert. In der Übersicht bleibt ein kurzes Präfix, an dem du den Schlüssel wiedererkennst. Bewahre das Geheimnis dort auf, wo dein System seine übrigen Zugangsdaten hält, und nicht in einer E-Mail oder einem Ticket. Für das ganze Leben eines Schlüssels gibt es klare Werkzeuge. Mit Gültig bis endet er von selbst, und sieben, drei, zwei und einen Tag vorher kommt eine Erinnerung. Rotieren erzeugt ein neues Geheimnis, das alte ist sofort ungültig, alles andere bleibt. Deaktivieren sperrt den Schlüssel sofort und dauerhaft, und erst ein deaktivierter Schlüssel lässt sich löschen. Die Aktivität zeigt, wer ihn wann angelegt, geändert oder rotiert hat, ohne das Geheimnis. Hast du den Verdacht, dass ein Schlüssel in falsche Hände geraten ist, deaktiviere ihn sofort. Es gibt keine Übergangsfrist. Soll die Anbindung weiterlaufen, genügt Rotieren. Rotation und Deaktivierung werden nach deiner ausdrücklichen Bestätigung wirksam. Und für jede Anbindung gilt: So wenig Rechte wie möglich. Ein Schlüssel, der nur Rechnungen abholt, braucht keine Schreibrechte auf Interessenten.

6:33 Webhooks

Bisher fragt dein System bei FLAMOX365 nach. Mit Webhooks geht es auch andersherum: FLAMOX365 meldet sich von selbst, sobald ein fachliches Ereignis eintritt, etwa eine erfasste Zahlung oder ein geänderter Auftrag. Dein System muss nicht ständig fragen, ob sich etwas getan hat. Ein Abonnement verbindet eine Zieladresse mit einer Auswahl von Ereignissen. Du wählst einzelne Ereignisse, ein Bereichsmuster wie alle Auftragsereignisse oder gleich alle Ereignisse. Der Katalog hat 19 Kategorien, von Aufträgen über Rechnungen bis zu Aufgaben. Ein Webhook deiner Organisation erhält nur Ereignisse deiner eigenen Organisation. Gleichzeitig aktiv sind höchstens 50 Webhooks, dein Tarif kann weniger vorsehen. Jede Zustellung ist eine POST-Anfrage mit JSON-Inhalt. Drei Kopffelder kommen mit: Der Ereignistyp, eine Zustellkennung und eine Signatur. Im Inhalt stehen Ereignistyp, Organisation, betroffener Datensatz, Zeitpunkt und die Daten zum Ereignis. Das Signaturgeheimnis wird bei der Anlage und nach einer bestätigten Rotation einmalig angezeigt. Damit kann dein System die Signatur prüfen. FLAMOX365 sendet nur an öffentlich erreichbare HTTPS-Adressen auf Port 443. Interne Netzwerkadressen und Weiterleitungen sind ausgeschlossen. Jeder Versuch hat fünf Sekunden Zeit, und nur eine erfolgreiche Antwort mit einem Status aus der Zweihunderter-Reihe gilt als zugestellt. Sonst folgt eine Wiederholung: Nach einer Minute, nach fünf Minuten, nach 30 Minuten und nach zwei Stunden. Scheitert auch der fünfte Versuch, ist die Zustellung ausgeschöpft. In seltenen Fällen kommt dieselbe Zustellung zweimal an. Dein System erkennt das an der Zustellkennung, denn sie bleibt bei allen Versuchen gleich. Verarbeite sie so, dass eine zweite Zustellung keine zweite Buchung auslöst. Bevor echte Ereignisse kommen, schickt Testen eine als Test gekennzeichnete Beispielnachricht an deine Adresse, auch bei einem inaktiven Abonnement und ohne Kontingent. Im Zustellprotokoll siehst du dann je Zustellung den Status, das HTTP-Ergebnis, die Dauer und die Versuche, dazu, wer oder was sie ausgelöst hat. Tests stehen nicht dort, sondern in der Aktivität des Abonnements.

9:28 Nachvollziehbar

Für die Fehlersuche gibt es das Ereignisprotokoll. Es zeigt die fachlichen Ereignisse deiner Organisation mit Typ, Zeitpunkt und betroffenem Datensatz, das neueste zuerst. Eine eigene Ansicht im Portal hat es noch nicht. Du rufst es über die Schnittstelle ab, mit dem Leserecht für Webhooks. Und die öffentliche Statusseite unter status.flamox365.app zeigt ohne Anmeldung, ob Schnittstelle, Datenbank, Portal und KI erreichbar sind, auch maschinenlesbar für deine Überwachung.

10:05 Anbindungen

Nicht jedes System ist aus dem Internet erreichbar. Für Dienste in deinem Firmennetz gibt es den Edge Connector. Er baut die Verbindung zu FLAMOX365 von innen nach außen auf, über ausgehendes HTTPS. Dein Netz braucht dafür keinen frei erreichbaren Eingang. Gekoppelt wird er einmal mit einem Code, der für 15 Minuten gilt. Erweiterungen aus dem Extension Store, signiert von FLAMOX365, installierst du dann zentral. Vieles ist schon fertig angebunden: Die Buchhaltung mit sevDesk, Lexware Office oder einem DATEV-Buchungsstapel, die Telefonie mit Microsoft Teams oder einer Telefonanlage über den Edge Connector und der E-Mail-Versand über dein eigenes Postfach. Zugangsdaten dafür speichert FLAMOX365 verschlüsselt und zeigt sie nicht wieder an.

11:09 Bewusst intern

Ein paar Dinge bleiben bewusst intern. Den Chat mit deinem Team erreicht kein API-Schlüssel, ebenso wenig Feedback, Präsenz und das eigene Profil. Interne E-Mail-Aufträge und Benachrichtigungen mit Empfängerdaten gehen an keinen Webhook, auch nicht an ein Abonnement auf alle Ereignisse. Und welche Funktionen du über die Schnittstelle nutzen kannst, richtet sich nach Tarif, Rolle und Berechtigung.

11:38 Zusammenfassung

Kurz zusammengefasst: Eine Schnittstelle für alles, dieselben Rechte wie im Portal, Schlüssel statt Passwörter und Ereignisse statt ständiger Nachfragen. Deine API-Schlüssel findest du in den Einstellungen unter API Keys.