Begrenzter Zugriff unter deiner Kontrolle
Ein Arbeitsbereich je Token, nur die von dir gewählten Rechte und nie mehr, als deine eigene Rolle erlaubt.
Verbindungen sind Arbeitsbereichstokens
Arbeitsbereichsinhaber und Administratoren erstellen Verbindungen auf der Seite Entwickler. Jede Verbindung ist ein Bearer-Token für einen Arbeitsbereich und eine Zielgruppe: rest-Tokens (sw_rest_...) funktionieren nur für /api/v1, und mcp-Tokens (sw_mcp_...) nur für /mcp.
Sende das Token im Authorization-Header. Setze es niemals in eine URL, einen Abfrageparameter, eine Importdatei oder ein Browserpaket.
Authorization: Bearer sw_rest_...Berechtigungsbereiche begrenzen deine Rolle
Eine neue Verbindung beginnt mit den schreibgeschützten Standardwerten workspaces:read, catalog:read und worlds:read. Ergänze nur das Benötigte, etwa worlds:write zum Bearbeiten von Entwürfen oder worlds:publish zum Veröffentlichen. GET /me benötigt account:read.
Ein Berechtigungsbereich gewährt nie mehr, als die Person darf, die das Token erstellt hat. Ihre Rolle wird bei jeder Anfrage erneut gelesen. Kennungen eines anderen Arbeitsbereichs antworten mit 404, damit ein Token nichts entdecken kann, was es nicht sehen darf.
Sensible Rechte werden ausdrücklich gewählt
Berechtigungsbereiche für Abonnentenadressen, Besuchernachrichten, Abrechnung, Löschung, DNS-Schreibzugriffe, Ausgaben, Teamänderungen oder Webhooks sind niemals vorausgewählt. Ihr Hinzufügen verlangt zuerst eine erneute Anmeldung. Die zugehörigen MCP-Werkzeuge bleiben verborgen, bis das Token sie besitzt.
Manche Aktionen sind für Tokens grundsätzlich nicht verfügbar: Genehmigungen entscheiden, casas und Konten löschen oder wiederherstellen (dafür ist eine frische direkte Anmeldung nötig; sie antworten mit 403 reauthentication_required) sowie Datenexporte.
Ablauf, Wechsel und Widerruf
- Tokens laufen standardmäßig nach 30 und spätestens nach 90 Tagen ab.
- Nur ein Hash wird gespeichert. Ein verlorenes Token kann nicht erneut angezeigt werden. Erstelle stattdessen eine neue Verbindung.
- Zum Wechseln erstelle eine neue Verbindung, stelle den Client um und widerrufe dann die alte. Der Widerruf gilt ab der nächsten Anfrage, auch für vorgemerkte Agentenarbeit.
Erwartbare Fehler
401: Das Token fehlt, ist unbekannt, abgelaufen, widerrufen oder für die andere Zielgruppe bestimmt.403 insufficient_scope: Dem Token fehlt ein Recht.context.required_scopenennt es, und die Antwort enthält einenWWW-Authenticate-Header.404: Die Ressource existiert nicht im Arbeitsbereich dieses Tokens.
OAuth ist noch nicht verfügbar
Agentenclients, die nur OAuth-Anmeldung unterstützen, können noch keine Verbindung herstellen. /.well-known/oauth-protected-resource/mcp nennt deshalb keinen Autorisierungsserver. Nutze stattdessen ein Verbindungstoken in den Headereinstellungen des Clients.