Skip to main content
On this page

Key-Lebenszyklus

API-Keys sind persistente Zugangsdaten, die sicheren programmatischen Zugriff auf dein etg24-Portal gewähren. Um Sicherheitsrisiken zu minimieren und maximale Transparenz zu gewährleisten, ist ihr Lebenszyklus klar strukturiert und jederzeit nachvollziehbar.

Status und Nutzung im Blick behalten

In der API-Schlüsselverwaltung der etg24-App siehst du alle aktiven Credentials mit ihren Scopes, ihrer Akteur-Bindung und ihrem Status:

  • Eindeutiger Agentenname: Stellt sicher, dass jeder Schlüssel einem konkreten Zweck oder einer bestimmten Integration zugeordnet ist – verwaiste Zugangsdaten gehören damit der Vergangenheit an.
  • Zeitstempel der letzten Nutzung („Last used“): Zeigt auf die Sekunde genau, wann der Key zuletzt authentifiziert wurde. Schlüssel, die über längere Zeit ungenutzt blieben, können gezielt identifiziert und stillgelegt werden.

Unterbrechungsfreie Key-Rotation

Bewusstes Rotationsmodell

etg24 bietet bewusst keinen automatischen Endpunkt für stille Secret-Rollovers an. Stattdessen folgt die Rotation einem transparenten dreistufigen Blue/Green-Muster: Neuen Schlüssel generieren → Konfiguration der Integration aktualisieren → Alten Schlüssel sperren. Das verhindert versehentliche Verbindungsabbrüche und garantiert null Ausfallzeit.

Um einen API-Key ohne Betriebsunterbrechung zu erneuern:

  1. Neuen Key erstellen: Erstelle in der etg24-App einen neuen API-Key mit demselben Agentennamen und den gewünschten Berechtigungen.
  2. Integration umstellen: Hinterlege den neuen Schlüssel in den Umgebungsvariablen oder im Secret Manager deines Systems (z. B. ETG24_API_KEY).
  3. Alten Key deaktivieren: Sperre den bisherigen Key in den Portaleinstellungen. Die Deaktivierung wird sofort auf allen Schnittstellen-Gateways wirksam.

Da Schlüssel den Agentennamen weitertragen, bleibt die Änderungszuordnung im Audit-Trail nahtlos erhalten: Logs weisen vor wie nach der Rotation denselben verantwortlichen Agenten aus.

Sofortige Schlüssel-Deaktivierung

Wurde ein API-Key versehentlich exponiert oder sendet eine Integration fehlerhafte Requests:

  1. Öffne die API-Verwaltung in deinen Portaleinstellungen.
  2. Klicke neben dem betroffenen Key auf Deaktivieren.
  3. Alle weiteren Aufrufe mit diesem Token werden unmittelbar mit 401 Unauthorized abgewiesen.

Weitere Details zur Wahl zwischen personengebundenen und unternehmensweiten Schlüsseln findest du unter Identität & Delegation.