Authentifizierung

API-Token

Externe Integrationen verwenden einen projektgebundenen API-Token:

Authorization: Bearer YOUR_API_TOKEN
Content-Type: application/json

Der Token muss aktiv, nicht gesperrt und nicht abgelaufen sein. Das Projekt im Request muss zum Token gehören. API-Tokens werden für Event-Erstellung, Identify, Insight-Schreibzugriffe und externe Pipeline-Step-Updates verwendet.

Benutzer-Access-Token

Lese- und Verwaltungsendpunkte sowie das Ausführen von Actions benötigen ein Access-JWT eines angemeldeten Tracklytic-Nutzers. Die Projektmitgliedschaft wird zusätzlich geprüft. Ein API-Token kann dafür nicht eingesetzt werden.

POST /v1/auth/login mit email und password liefert tokens.access.token und tokens.refresh.token. Der Login-Request enthält keinen Bearer-Token. Ein Access-Token wird ebenfalls im Authorization-Header gesendet.

{
  "email": "developer@example.test",
  "password": "YOUR_PASSWORD"
}

POST /v1/auth/refresh erneuert die Tokens. Body:

{
  "refreshToken": "YOUR_REFRESH_TOKEN"
}

Verwende die zurückgegebenen Ablaufzeiten und ersetze auch den Refresh-Token.

Token verwalten

Erstelle und deaktiviere API-Tokens in den Projekteinstellungen. Bei einer Rotation zuerst einen neuen Token hinterlegen, die Integration prüfen und anschließend den bisherigen Token deaktivieren.

Tokens gehören in serverseitige Umgebungsvariablen oder einen Secret Store. Verwende in öffentlich ausgeliefertem JavaScript und NEXT_PUBLIC_* keine API-Tokens.