Wie authentifiziert sich ein Client oder KI-Agent an der API von Maditon?
Mit einem OIDC-Bearer-Token, das Zitadel ausstellt und das im Header Authorization: Bearer mitgesendet wird. Die API prüft es bei jeder Anfrage gegen den JWKS-Endpunkt von Zitadel. Access-Tokens sind kurzlebig — 15 Minuten —, Refresh-Tokens übernehmen die Erneuerung, und jeder Aufruf ist auf die Organisation im Token beschränkt.
Die Authentifizierung läuft über OIDC. Maditon gibt keine eigenen API-Schlüssel aus und verarbeitet nie selbst Passwörter.
Der Ablauf. Holen Sie über einen standardmäßigen OAuth-2.0-Flow mit PKCE
ein Token von Zitadel und senden Sie es bei jeder Anfrage als
Authorization: Bearer <token>. Das Backend prüft die Signatur gegen den
JWKS-Endpunkt von Zitadel und liest Organisation und Nutzeridentität aus den
Claims.
Lebensdauer. Access-Tokens sind kurzlebig — 15 Minuten. Ein lange laufender Agent muss sie also erneuern, statt ein Token unbegrenzt zwischenzuspeichern. Ein 401 bei einem Aufruf, der vorher funktioniert hat, bedeutet meist Ablauf, nicht Widerruf.
Geltungsbereich. Jeder authentifizierte Endpunkt ist auf die Organisation im Token beschränkt. Es gibt keinen organisationsübergreifenden Lesezugriff, auch nicht für den Support.
Ratenbegrenzung. Authentifizierte Aufrufer sind auf rund 10 Anfragen pro
Sekunde begrenzt, die öffentlichen Formulare ohne Anmeldung auf 5 pro Stunde
und IP-Adresse. Wer ein Limit überschreitet, erhält 429 mit einem
Retry-After-Header — halten Sie sich daran, statt sofort einen neuen Versuch
zu starten.
Zitadel wird in der Schweiz gehostet. Damit bleibt die Identität, wie der Rest des Stacks, unter europäischer Rechtshoheit.
Weiterlesen
Ein kostenloses Konto erstellt eine echte Einstufung für eines Ihrer eigenen Systeme — ohne Kreditkarte, ohne Verkaufsgespräch.
Kostenlose Einstufung starten