Delivery Access Token

DeliveryAccessToken ist ein Lese-Token, das beim Lesen von veröffentlichten Inhalten über die CDA (öffentliche Auslieferung) verwendet wird. Wenn der Browser einer Website oder App veröffentlichte Inhalte abruft, ruft er die CDA mit diesem Token auf. Bei der Ausstellung wird das Token an genau eine SpaceRole gebunden, und diese Rolle legt den Lesebereich des Tokens fest (welche Content Type gelesen werden dürfen).

In der CMA ist DeliveryAccessToken eine Unterressource von Space, und der Pfad richtet sich nach /spaces/{spaceId}/delivery-access-tokens. Da dieses Token im Browser (Client) offengelegt betrieben wird, muss die gebundene Rolle zwingend nach dem Prinzip der minimalen Rechte (least-privilege) festgelegt werden, sodass nur die wirklich benötigten Content Type gelesen werden können (siehe Sicherheit: Bindung mit minimalen Rechten unten).

Ressourcenstruktur

Im Folgenden steht die Antwort beim Erstellen eines DeliveryAccessToken. In sys (Systemeigenschaften) sind der Token-Wert und der Bereich enthalten, im Rumpf stehen name und description.

{
  "sys": {
    "id": "3trmXRM3RqbgSnifyg7PUFQuOAqWOc",
    "type": "DeliveryAccessToken",
    "space": { "sys": { "id": "HnQ32YiH", "type": "Refer", "targetType": "Space" } },
    "createdBy": { "sys": { "id": "3trmXRM3RqbgSnifyg7PUFQsSPi0nt", "type": "Refer", "targetType": "User" } },
    "createdAt": "2026-06-18T09:24:23.156Z",
    "updatedBy": { "sys": { "id": "3trmXRM3RqbgSnifyg7PUFQsSPi0nt", "type": "Refer", "targetType": "User" } },
    "updatedAt": "2026-06-18T09:24:23.156Z",
    "accessToken": "DVRATbQ8mX2vK9pLs7Rf1Zt0Nc4Wd6Hg5Ua2Ee9Ck3PoYx8Bj6Hg5Ua2Ee9Ck3Po…",
    "scopes": ["DELIVERY"]
  },
  "description": "Schreibgeschütztes Auslieferungstoken für die öffentliche Website des Bekleidungsshops",
  "name": "Öffentliche Website-Auslieferung"
}

Wichtige Schlüssel:

• sys.id: Der eindeutige Bezeichner des DeliveryAccessToken. Er wird in {deliveryAccessTokenId} der Pfade für Einzelabruf, Änderung und Löschung eingesetzt.
• sys.accessToken: Der geheime Token-Wert, der beim CDA-Aufruf verwendet wird. Da nach der Ausstellung auch beim erneuten Abruf derselbe Wert zurückgegeben wird, ist beim Offenlegen Vorsicht geboten (siehe Sicherheitsabschnitt unten).
• sys.scopes: Der Berechtigungsbereich des Tokens. Bei DeliveryAccessToken ist er bei der Ausstellung stets ["DELIVERY"].
• name: Der beim Erstellen festgelegte Token-Name (z. B. Öffentliche Website-Auslieferung).
• description: Eine Beschreibung des Tokens (optional).

Der accessToken im Beispiel oben ist ein geheimer Wert und wurde daher durch eine Beispielzeichenkette ersetzt. In Wirklichkeit ist es eine lange, undurchsichtige Zeichenkette, und auch beim erneuten Abruf nach der Ausstellung wird derselbe Wert zurückgegeben.

Systemeigenschaften (sys)

Jedes DeliveryAccessToken fasst die gemeinsamen Systemeigenschaften und die tokenspezifischen Eigenschaften im sys-Objekt zusammen. space, createdBy und updatedBy liegen in der Refer-Form vor ({ "sys": { "id", "type": "Refer", "targetType" } }).

Rumpfeigenschaften:

Sicherheit: Bindung mit minimalen Rechten

DeliveryAccessToken ist ein Token, das offengelegt gegenüber Browsern und Besuchern die CDA aufruft. Deshalb bestimmt die Frage, an welche SpaceRole es gebunden wird, unmittelbar die Sicherheitsgrenze dieses Tokens.

• In role der Erstellungsanfrage trägt man die sys.id einer SpaceRole mit minimalen Rechten ein, die nur die benötigten Content Type liest. Für die öffentliche Auslieferung wird eine schreibgeschützte Rolle empfohlen.
• Binden Sie niemals die Rolle Administrator. Da dieses Token im Client offengelegt wird, würden bei Bindung einer Rolle mit Verwaltungsrechten genau diese Rechte unverändert nach außen gelangen. Verwenden Sie außerdem nicht achtlos den ersten Eintrag aus der SpaceRole-Liste, sondern geben Sie ausdrücklich die sys.id der beabsichtigten Rolle mit minimalen Rechten an.
• accessToken ist ein geheimer Wert, der auch nach der Ausstellung mit demselben Wert abgerufen wird. Schleusen Sie ihn sicher in den Client-Build ein, legen Sie ihn aber nicht unverändert nach außen offen.

(Quelle: Skill und Regel weegloo-delivery-access-token.)

API

Die Basis-URL aller folgenden Endpunkte ist https://cma.weegloo.com/v1, und im Authorization-Header wird ein Bearer-Token benötigt, das die CMA authentifiziert. Für die Änderung und Teiländerung von DeliveryAccessToken ist kein X-Weegloo-Version-Header erforderlich.

Verwandte Dokumente

• SpaceRole: Definiert die an dieses Token zu bindende Rolle (Lesebereich).
• CDA-Überblick: Die Auslieferungs-API, die mit diesem Token veröffentlichte Inhalte liest.
• Personal Access Token: Weegloo-User-Token für Server und CI.