API-Schlüssel anlegen und Rechte vergeben
Wie ein Fremdsystem Zugang zu den Daten Ihres Betriebs bekommt — Schlüssel erstellen, Rechte setzen, Ablauf wählen und jederzeit widerrufen.
Für EntwicklerVoraussetzungen
- Recht: apiSettings:read zum Ansehen
- Recht: apiSettings:write zum Anlegen, Ändern und Widerrufen
- Die Schnittstelle ist in jedem Plan enthalten; die Datenbereiche dahinter folgen dem gebuchten Plan
Die Schnittstelle ist in jedem Plan enthalten. Sie ist keine Zubuchung und kein eigenes Merkmal — bezahlt werden die Datenbereiche dahinter. Enthält Ihr Plan die Warenwirtschaft nicht, kommt auch ein Schlüssel nicht an sie heran; der betreffende Aufruf antwortet dann mit dem Status 402 und nennt in der Antwort, welches Merkmal fehlt und was zu tun ist. Der Schlüssel selbst bleibt dabei gültig — es ist nur dieser eine Bereich gesperrt.
Ein Schlüssel gehört zu genau einem Betrieb. Er wird ausschließlich in der Kopfzeile „Authorization: Bearer …" mitgeschickt. Ein Schlüssel im Adressteil einer Anfrage oder in einem Cookie wird abgelehnt UND sofort entwertet: er stünde in Server-Protokollen, im Browserverlauf und in jedem Verweis und wäre damit nicht mehr geheim.
Das Geheimnis wird genau einmal angezeigt, direkt nach dem Erstellen. Gespeichert wird nur seine Prüfsumme; es lässt sich danach nicht mehr anzeigen — auch nicht auf Nachfrage beim Betreiber. Wer es verpasst, legt einen neuen Schlüssel an und widerruft den alten. In der Liste steht später nur noch das Präfix, etwa „tt_live_7fq2m9xk4b1ptz3v…8fQx".
Die Rechte eines Schlüssels sind zu jeder Zeit höchstens die Rechte der Person, die ihn angelegt hat. Verliert sie ein Recht, verliert der Schlüssel es im selben Moment mit — die Prüfung läuft bei jedem Aufruf neu. Sieben Bereiche sind einem Schlüssel nie zuweisbar und erscheinen deshalb gar nicht erst als Haken: die Schlüsselverwaltung selbst, Mitarbeiterrechte, Abrechnung, Einstellungen, E-Mail-Konten, Posteingang und der KI-Assistent.
Gästepost lässt sich über die Schnittstelle nicht auslösen. Es gibt in dieser Fassung keinen Weg, über einen Schlüssel eine Mail an Gäste zu verschicken; alle schreibenden Aufrufe laufen ohne Mailversand. Ein gestohlener Zugang kann damit keine Post im Namen des Betriebs verschicken.
Schritt für Schritt
Seite öffnen
In der Seitenleiste unter „Einstellungen" auf „API-Einstellungen". Sichtbar ist der Punkt nur mit dem Recht apiSettings:read.
Schlüssel anlegen
Knopf „Schlüssel anlegen" oben rechts. Der Titel ist Pflicht — er steht in der Liste und in jeder Protokollzeile. Die Beschreibung ist freiwillig.
Gültigkeitsdauer wählen
Voreingestellt ist „Läuft nie ab". Alternativ 30, 90, 180 oder 365 Tage. Widerrufen lässt sich ein Schlüssel jederzeit, unabhängig vom Ablauf.
Rechte setzen
Je Datenbereich ein Haken für „Lesen" und einer für „Schreiben". „Alle auswählen" setzt alle Bereichsrechte auf einmal; die gefährlichen Einzelhandlungen darunter bleiben absichtlich außen vor und werden einzeln vergeben.
Geheimnis sichern
Nach dem Erstellen erscheint der Schlüssel im Klartext — einmalig. Kopieren, in den Passwortspeicher oder direkt ins Fremdsystem einsetzen, dann bestätigen. Danach ist er nicht mehr abrufbar.
Zugriff prüfen und widerrufen
Die Liste zeigt je Schlüssel Präfix, Rechte, Ablauf, letzten Zugriff und wer ihn angelegt hat. Über das Papierkorb-Symbol wird er widerrufen; der Eintrag bleibt für das Protokoll stehen.
Codebeispiele
curl https://tactictable.com/api/v1/reservations?dateFrom=2026-09-14&dateTo=2026-09-14 \
-H "Authorization: Bearer tt_live_7fq2m9xk4b1ptz3v_…"{ "error": "plan_upgrade_required", "feature": "warenwirtschaft", "featureLabel": "Warenwirtschaft", "requiredPlanLabel": "Website + Reservierung", "resolution": "Der Inhaber schaltet den Plan im Dashboard unter Abrechnung hoch."}