Erste Schritte
Authentifizierung und Scopes
Jeder Aufruf trägt einen API-Schlüssel. Ein Schlüssel erreicht genau einen Arbeitsbereich, darf, was seine Scopes erlauben, und kann ablaufen.
Den Schlüssel senden
Senden Sie den Schlüssel als Bearer-Token. Werkzeuge, die nur einen benannten Header füllen können, dürfen stattdessen X-Api-Key verwenden; in beiden steht derselbe Schlüssel.
GET /api/v1/events HTTP/1.1
Host: attendbeacon.com
Authorization: Bearer abk_k7m2qx9vtw4p_...Ein Schlüssel besteht aus abk_, zwölf Zeichen, einem Unterstrich und einem Geheimnis aus 43 Zeichen. Die zwölf Zeichen sind sein Präfix: Der Arbeitsbereich zeigt sie an, damit Sie Schlüssel auseinanderhalten können, und die Aktivität der Schlüssel nennt Schlüssel danach. Secret-Scanner erkennen die Markierung abk_, sodass ein versehentlich in ein Repository gepushter Schlüssel leicht zu finden ist.
Beantwortet wird nur HTTPS. Es gibt keine Cookies und keine Sitzungen: Jede Anfrage steht für sich.
Was ein Schlüssel erreicht
Ein Schlüssel gehört zu einem Arbeitsbereich und erreicht nichts anderes. Eine Veranstaltung, eine teilnehmende Person oder ein Webhook eines anderen Arbeitsbereichs antwortet mit 404, genau so, als gäbe es sie nicht. Ein Schlüssel kann also nie erfahren, was ein anderer Veranstalter hat.
Der Demo-Arbeitsbereich hat keine eigenen Schlüssel. Erstellen Sie einen eigenen Arbeitsbereich, um schreibende Aufrufe auszuprobieren. Die Lesezugriffe auf Beacon Summit in dieser Dokumentation zeigen die echten Daten der Demonstration.
Scopes
Ein Scope besteht aus einem Bereich und einer Zugriffsart: events:read, attendees:write. Geben Sie einem Schlüssel die Scopes, die seine Software braucht, und nicht mehr. Ein Schlüssel, der in falsche Hände gerät, gibt dann auch nicht mehr preis.
- Schreiben schließt Lesen ein, im selben Bereich: Ein Schlüssel mit
program:writekann auch Sessions lesen. people:readist ein eigener Scope. Ohne ihn sind Personen nur IDs: Eine teilnehmende Person hat ein Ticket, einen Status und eine Check-in-Zeit, aber keinen Namen, keine Adresse, keine Firma und keine Antworten, undpersonalDatasteht aufwithheld. Zahlen, Verkäufe und das Programm brauchen keine Personen.- Ein Aufruf, der einen Scope braucht, den der Schlüssel nicht hat, antwortet mit
403und"code": "missingScope", und"scope"nennt, was fehlt. Scopes werden beim Erstellen eines Schlüssels gewählt; für andere Scopes erstellen Sie einen neuen Schlüssel.
| Scope | Erlaubt |
|---|---|
events:read | Events: the list, details, statistics, registration questions and doors. |
events:write | Create draft events, change their basics and publish or unpublish them. |
tickets:read | Ticket types, add-ons and discount codes, with what is sold. |
tickets:write | Change a ticket type's capacity and sales window, and create discount codes. |
orders:read | Orders and their money, and the sales pace. |
attendees:read | Registrations and attendees: ticket, status and check-in; names and answers need people:read too. |
attendees:write | Register people with a free ticket and cancel tickets, as the workspace does. |
checkins:read | Door scans and check-in counts. |
checkins:write | Check attendees in at a door, by the scanner's rules. |
program:read | Sessions, rooms, tracks and speakers. |
program:write | Add and change sessions on the agenda. |
sponsors:read | Sponsors, exhibitors, their levels and consented leads. |
cfp:read | Call-for-speakers submissions and their status. |
crew:read | Crew, volunteers, roles and shifts. |
surveys:read | Surveys, session ratings and their results, never who answered. |
finance:read | Invoices, credit notes and the budget summary. |
sharekit:read | The share kit's leaderboard of speakers, sponsors and attendees who spread the word. |
communities:read | Communities and their members. |
webhooks:read | Webhook endpoints, their deliveries, the event types and subscriptions for automation platforms. |
webhooks:write | Add, change, test and remove webhook endpoints. |
people:read | Personal data in any of the above: names, email addresses, companies and answers. Without it, people are ids only. |
Der Arbeitsbereich bietet vier Ausgangspunkte: Dashboard (Veranstaltungen, Tickets, Bestellungen, Check-ins und das Programm, nur lesend), Power Automate oder Zapier (was der Konnektor und die Zapier-App verwenden), KI-Assistent (alles lesend, einschließlich Personen) und Alles.
Schlüssel von vor Oktober 2026
Schlüssel aus der Zeit vor den Scopes pro Bereich hatten read und write. Sie wurden in das umgeschrieben, was diese bedeuteten, und funktionieren genau wie zuvor: Aus read wurde jeder damals vorhandene Lesezugriff (einschließlich Personen), aus write wurden attendees:write und checkins:write. Kein Schlüssel hat neue Rechte bekommen.
Ablauf und Widerruf
Ein Schlüssel kann nach 30, 90, 180 oder 365 Tagen ablaufen oder nie. Ein abgelaufener Schlüssel antwortet mit 401 und "code": "keyExpired". Erstellen Sie den neuen Schlüssel vor dem Ablaufdatum des alten und tauschen Sie ihn aus, dann kommt nichts zum Stillstand.
Ein im Arbeitsbereich widerrufener Schlüssel funktioniert sofort nicht mehr (keyRevoked). Die Power Automate-Flows und Zaps, die er abonniert hat, werden mit ihm abgemeldet, weil sie sich selbst nicht mehr abmelden könnten.
Die Aktivität der Schlüssel
Integrationen › API & MCP › Aktivität der Schlüssel listet jeden Aufruf auf, den ein Schlüssel in den letzten 90 Tagen über die API oder den MCP-Server gemacht hat: wann, welche Operation (die Route, etwa GET /events/{eventId}/attendees, oder das MCP-Tool), wie geantwortet wurde, wie lange es dauerte und von welcher Adresse. Nie ein Query-String, ein Body oder eine Antwort: Die Adresse einer teilnehmenden Person in einer Suche gehört nicht in ein Protokoll. Abgelehnte Aufrufe stehen ebenfalls dort, mit ihrem Code. Wenn ein Flow stoppt, ist missingScope oder rateLimited dort also das Erste, wonach Sie suchen.
Änderungen, die mit einem Schlüssel gemacht wurden, erscheinen außerdem im Aktivitätsprotokoll des Arbeitsbereichs, benannt nach dem Schlüssel: „API key abk_k7m2qx9vtw4p (Attendee sync for the CRM)“.
Schlüssel sicher aufbewahren
- Ein Schlüssel pro Software, benannt nach ihr. So können Sie einen widerrufen, ohne die anderen zu stoppen.
- Bewahren Sie Schlüssel in einem Secret Store auf (Key Vault, die Secrets Ihrer CI, ein Passwortmanager), nie im Code oder in einem Repository.
- Senden Sie einen Schlüssel nie an einen Browser. Die Schaltfläche Ausprobieren in dieser Dokumentation ist die Ausnahme, die Sie selbst machen: Der Schlüssel bleibt im Speicher dieser Seite und geht nur an attendbeacon.com.
- Geben Sie Schlüsseln ein Ablaufdatum und widerrufen Sie die, die laut Aktivitätsliste niemand nutzt.