Die meisten Automationen brauchen Zugang zu fremden Konten. Dabei bekommen sie nie ein Passwort, sondern nur eine befristete Erlaubnis.

OAuth 2.0 regelt, wie eine Anwendung begrenzten Zugriff auf ein Konto bei einem anderen Dienst erhält, ohne dass das Passwort weitergegeben wird. Dieser Vorgang läuft überall dort, wo ein Werkzeug mit einem fremden System sprechen darf – etwa wenn eine Automation Daten in ein Buchhaltungssystem schreibt.

Zuerst fordert die Anwendung beim Dienst die gewünschte Berechtigung an. Eine API ist eine festgelegte Schnittstelle, über die ein Programm Funktionen eines anderen Systems nutzt; der Dienst listet darin genau auf, was die Anwendung erhalten soll.

Dann zeigt der Dienst dem Nutzer diese Anfrage an und fragt nach seiner Zustimmung. Der Nutzer sieht, welche Berechtigung beantragt wird, und kann vor der Freigabe prüfen, ob sie passt.

Danach erteilt der Nutzer die Erlaubnis. Der Dienst prüft den Nutzer, meist über eine Anmeldung im Browser, und bestätigt die Berechtigung. Eine n8n-Automation, die Rechnungen im Buchhaltungssystem anlegen soll, bekommt so nur das Recht, Rechnungen zu erstellen – nicht Konten zu löschen.

Zuletzt erhält die Anwendung ein Access Token, eine Art befristeter Schlüssel, den sie bei jedem Aufruf mitschickt. Wer das Token besitzt, darf genau das, was verabredet wurde – nicht mehr. Anders als ein API-Schlüssel, eine geheime Zeichenfolge, mit der sich ein Programm ausweist: Wer diesen kennt, handelt mit den Rechten des zugehörigen Kontos. Das Token dagegen trägt nur die Teilberechtigung, läuft ab und lässt sich jederzeit widerrufen, ohne ein Passwort zu ändern.

OAuth heißt nicht Passwort weiterzugeben, sondern eine begrenzte, widerrufbare Erlaubnis zu übertragen.

📌 Access Token · Berechtigung · Widerruf

📚 Automatisierung von Grund auf · Tag 4 von 30
#Automatisierung #api #n8n #Integration