Authentifizierung

Site-scoped API-Schlüssel mit gehashter Speicherung und nur Präfix-Anzeige.

Jede Tenant-API-Anfrage muss einen gültigen Site-API-Schlüssel enthalten. Schlüssel sind an eine Site gebunden — Site-A-Schlüssel gegen Site-B-Pfad liefert 401.

API-Schlüssel

Schlüssel werden in der App erzeugt (`fig_live_` + 48 Hex-Zeichen). Das volle Secret wird nur bei Erstellung angezeigt. Serverseitig speichern wir nur einen SHA-256-Hash.

Bereiche

Aktuelle Schlüssel gewähren Lesezugriff auf Entwürfe und veröffentlichte Inhalte plus Training-Export bei Opt-in. Schreiboperationen über die App-Oberfläche oder das Content-System — nicht die öffentliche REST-API.

Sicherheitspraktiken

Kompromittierte Schlüssel auf der API-Seite widerrufen und neu erstellen
Schlüssel niemals in clientseitigem JavaScript einbetten
Nur HTTPS — Schlüssel im Authorization-Header senden

Authorization-Header

Authorization: Bearer fig_live_abc123...
Content-Type: application/json

Site-Bindung

Der Pfadparameter `siteId` muss zur Site des Schlüssels passen. Dies verhindert mandantenübergreifenden Zugriff, selbst wenn ein Schlüssel durchsickert.