API-Tokens erstellen und verwalten

Ein API-Token ist ein langer Geheimstring, mit dem du einen externen Client (Zapier, Make, dein eigenes Tool) bei Flino authentifizierst. Pro Token gibt es genau einen festen Scope: offer_import:write — also „Angebote anlegen“.

Tokens gehören zu deiner Organisation, nicht zu einer einzelnen Person. Anlegen, einsehen und widerrufen können nur Inhaber und Admins der Organisation; im Normalfall bist das du selbst, weil jede Person in ihrem eigenen Workspace Inhaber ist. Wer diese Rolle nicht hat, sieht statt der Liste den Hinweis „API-Tokens können nur von Organisations-Admins verwaltet werden. Wende dich an deinen Admin, um eine Integration einzurichten.“

Nicht verwechseln: Die API-Tokens hier gelten für den Angebots-Import per Webhook. Für deinen KI-Assistenten gibt es eigene Zugriffs-Tokens in der Karte KI-Assistent-Zugang (MCP), beschrieben unter KI-Assistent verbinden.

Wo du Tokens findest

Einstellungen → Integrationen → Karte API-Tokens.

Untertitel: „Erstelle Tokens für externe Integrationen wie Zapier oder Zoho CRM. Der Klartext-Token wird nur einmalig nach der Erstellung angezeigt.“

Token erstellen

1. Klick auf Neuer Token.
2. Im Dialog Neuer API-Token vergibst du unter Token-Name einen Namen, der dir später hilft, den Zweck zu erkennen, z. B. „Zoho CRM Produktion“.
3. Klick auf Token erstellen.

Du siehst jetzt das Modal Token erstellt mit dem Klartext-Token.

Wichtig: Der Klartext wird nur ein einziges Mal angezeigt. Kopier ihn sofort über den Kopieren-Button und leg ihn in deinem Passwort-Manager oder direkt im externen System ab. Wenn du das Modal mit Fertig schließt, kannst du den Token nicht mehr abrufen und müsstest einen neuen erstellen.

Token-Liste

In der Übersicht siehst du je Token:

• Token-Name
• Scope-Badge — aktuell immer offer_import:write
• Erstellt: Datum
• Zuletzt genutzt: Datum (oder „—“ wenn noch nie verwendet)

Token widerrufen

Wenn ein Token kompromittiert ist oder nicht mehr gebraucht wird:

1. Klick rechts auf das Mülleimer-Icon Token widerrufen.
2. Es öffnet sich der Bestätigungsdialog Token widerrufen? mit dem Token-Namen.
3. Klick auf Widerrufen.

Toast: „Token widerrufen“. Der Token steht danach unter Widerrufene Tokens mit dem Badge Widerrufen. Alle Anfragen mit dem alten Token werden ab sofort mit 401 Token has been revoked abgewiesen.

Widerrufene Tokens können nicht reaktiviert werden. Erstelle bei Bedarf einen neuen Token.

Webhook-URL

In derselben Karte findest du unter „Zapier Webhook URL“ die Adresse, an die du Anfragen schickst. Die URL hat die Form:

https://<euer-projekt>.supabase.co/functions/v1/zapier-offer-import

Flino zeigt dir die vollständige URL direkt an. Darunter steht der Hinweis: „POST mit Content-Type: application/json und dem Header x-flino-token: <dein-token>. Ein zusätzlicher Authorization-Header ist nicht nötig.“

Diese Adresse ist kanonisch und dauerhaft — eine eigene API-Subdomain ist nicht geplant.

Sicherheits-Hinweise

• Niemals den Token öffentlich committen oder in einem Repository speichern.
• Nur über HTTPS senden.
• Header: x-flino-token: <dein-token> — siehe Webhook-Endpoint.
• Beim Mitarbeiter-Wechsel widerrufen und neu generieren.
• Pro Tool einen eigenen Token, damit du sie unabhängig widerrufen kannst. Jeder Token hat außerdem sein eigenes Limit von 60 Anfragen pro Minute.