Personal Access Token

Ein PersonalAccessToken ist ein langlebiges Token, das ein Weegloo-Plattformkonto (Weegloo User) verwendet, um CMA, Upload und CDA von Servern, CI oder Skripten aus mit den eigenen Berechtigungen aufzurufen. Anders als das kurzlebige Token, das der Browser-Login-Flow bei jedem Mal ausstellt, bleibt es nach der einmaligen Ausstellung gültig, bis es gelöscht wird.

Ein PersonalAccessToken ist nicht an einen Space, sondern an das Benutzerkonto gebunden. Deshalb liegt der Endpunkt nicht unter /spaces/{spaceId}, sondern auf dem obersten Pfad /personal-access-tokens, und es gibt keine spaceId in den Pfadvariablen. Ein Aufrufer, der dieses Token verwendet, handelt in allen Spaces, denen der Benutzer beigetreten ist, jeweils nur im Rahmen der Berechtigungen, die die SpaceRole des jeweiligen Space festlegt.

Ressourcenstruktur

Im Folgenden sehen Sie die Antwort beim Erstellen eines PersonalAccessToken. In sys (Systemeigenschaften) stehen der Token-Wert und der Geltungsbereich, im Body steht name.

{
  "sys": {
    "id": "5KmQ2pVnRb8sTfWcXd3LhJ9gAe",
    "type": "PersonalAccessToken",
    "createdBy": { "sys": { "id": "2bN7kRpQ9mWx4Lt6Vy0Cf3Hs8", "type": "Refer", "targetType": "User" } },
    "createdAt": "2026-06-18T11:41:47.409Z",
    "updatedBy": { "sys": { "id": "2bN7kRpQ9mWx4Lt6Vy0Cf3Hs8", "type": "Refer", "targetType": "User" } },
    "updatedAt": "2026-06-18T11:41:47.409Z",
    "accessToken": "PSNAT5SCq8Lm2vK9pXfR1Zt0Nc4Wd6Hg5Ua2Ee9Ck3PoYx8Bj6Hg5Ua2Ee9Ck3Po…",
    "scopes": ["PERSONAL"]
  },
  "name": "Produkt-Synchronisierungsserver"
}

Wichtige Schlüssel:

• sys.id: Der eindeutige Bezeichner des PersonalAccessToken. Er wird in {personalAccessTokenId} der Pfade für Einzelabruf und Löschung eingesetzt.
• sys.accessToken: Der geheime Token-Wert, der für API-Aufrufe verwendet wird. Derselbe Wert erscheint nicht nur in der Erstellungsantwort, sondern auch in späteren Abrufantworten unverändert, daher ist beim Umgang Vorsicht geboten (siehe den Sicherheitsabschnitt unten).
• sys.scopes: Der Berechtigungsumfang des Tokens. Ein PersonalAccessToken ist bei der Ausstellung immer ["PERSONAL"].
• name: Der beim Erstellen festgelegte Token-Name (z. B. Produkt-Synchronisierungsserver).

Der accessToken im obigen Beispiel ist ein geheimer Wert und wurde durch eine Beispielzeichenkette ersetzt. Tatsächlich ist es eine lange, undurchsichtige Zeichenkette, die mit PSNAT beginnt, und beim erneuten Abruf nach der Ausstellung erscheint derselbe Wert.

Systemeigenschaften (sys)

Jedes PersonalAccessToken enthält gemeinsame Systemeigenschaften und token-spezifische Eigenschaften im sys-Objekt. createdBy und updatedBy haben die Refer-Form ({ "sys": { "id", "type": "Refer", "targetType" } }). Diese Ressource hat kein space, da sie ein Token auf Benutzerebene ist, das nicht an einen Space, sondern an das Benutzerkonto gebunden ist.

Body-Eigenschaften:

Sicherheit: nicht offenlegen

Ein PersonalAccessToken trägt die Identität des jeweiligen Benutzers unverändert. Mit diesem Token können CMA, Upload und CDA mit den SpaceRole-Berechtigungen aller Space-Mitgliedschaften des Benutzers aufgerufen werden. Der Berechtigungsumfang ist breit und die Lebensdauer lang, sodass beim einmaligen Durchsickern die gesamten Berechtigungen dieses Benutzers offengelegt werden.

• Geheim behandeln, sodass es nirgendwo offengelegt wird. In dem Moment, in dem es durchsickert, gehen die gesamten Berechtigungen dieses Benutzers nach außen über. Ein PersonalAccessToken ist ausschließlich für vertrauenswürdige Umgebungen wie Server und CI bestimmt und wird weder im Code noch in Logs, Speichern oder Fehlermeldungen im Klartext hinterlassen.
• Nicht in Browser- oder Client-Code ablegen. Ein an den Browser ausgelieferter Wert kann vom Benutzer unmittelbar eingesehen werden und ist damit praktisch öffentlich. Administrationsoberflächen, die im Browser laufen, verwenden das kurzlebige Token aus dem Content-Studio-Login-Flow (auf die Bildschirmsitzung beschränkt).
• Für die schreibgeschützte Auslieferung, die für Besucher öffentlich ist, verwenden Sie ein DeliveryAccessToken, das an eine SpaceRole mit minimalen Berechtigungen (least-privilege) gebunden ist. Verwenden Sie kein PersonalAccessToken in öffentlichen Clients.
• Der accessToken erscheint nicht nur zum Zeitpunkt der Erstellung, sondern auch in Abrufantworten unverändert. Achten Sie darauf, das Abrufergebnis nicht unverändert in Logs, auf dem Bildschirm oder in externen Speichern zu hinterlassen.
• Es gibt keine Aktualisierungs-API (kein PUT, kein PATCH). Um ein Token auszutauschen, löschen Sie das bestehende Token und stellen ein neues aus. Bei Verdacht auf Offenlegung löschen Sie es sofort, um es zu entwerten, und ersetzen es durch ein neues Token.

(Quelle: Skills weegloo-user-login und weegloo-delivery-access-token, .claude/rules/weegloo-api-endpoints.md.)

API

Die Basis-URL aller folgenden Endpunkte ist https://cma.weegloo.com/v1, und im Authorization-Header wird ein Bearer-Token benötigt, das gegenüber CMA authentifiziert. Da ein PersonalAccessToken eine Ressource auf Benutzerebene ist, gibt es im Pfad keine spaceId. Außerdem gibt es keine Aktualisierungs-API, sodass nur die vier Operationen Liste, Erstellen, Einzelabruf und Löschen existieren.

Verwandte Dokumente

• Delivery Access Token: Schreibgeschütztes Auslieferungstoken, das für Besucher öffentlich ist (für den Browser).
• SpaceRole: Der Umfang der Berechtigungen, die dieser Benutzer in jedem Space hat.