Dokumentation · Integrationshandbuch

Externe API-Zugangsdaten

Dieses Dokument erklärt, wie Sie mit den vom ADP Car Market Hub-Plugin verwendeten externen API-Zugangsdaten sicher umgehen. Es beschreibt, woher die Zugangsdaten normalerweise stammen, was niemals veröffentlicht werden darf, wie Werte mit den ausstellenden Anbietern koordiniert werden und wie Informationen für den Support weitergegeben werden können, ohne Geheimnisse preiszugeben.

Es richtet sich an alle Administratoren, Integratoren oder Partner, die Zugangsdaten im Namen einer Garage verwalten.

Wann dieses Dokument zu verwenden ist

Verwenden Sie dieses Dokument, wenn Sie:

Zum ersten Mal Zugangsdaten von einem Anbieter erhalten und wissen müssen, wie Sie diese sicher speichern und weiterleiten.
Die Rotation von Zugangsdaten zwischen der Garage, dem API-Anbieter und der WordPress-Website koordinieren.
Eine Supportanfrage, einen Screenshot oder einen Export vorbereiten und wissen müssen, was geschwärzt werden muss.
Überprüfen, wie Zugangsdaten auf einer WordPress-Installation gespeichert sind.

Übersicht

Das Plugin kann Zugangsdaten für mehrere unabhängige Integrationen speichern. Die genaue Auswahl hängt davon ab, welche Funktionen aktiviert sind, aber typische Beispiele sind:

AutoScout24-API – die OAuth-Client ID, das Client Secret und die Seller ID(s), die vom Importer verwendet werden. Siehe Einrichtung der API-Zugangsdaten.
AI Assistant – verwendet die verwaltete Google Gemini-Konfiguration in ADP Car Market Hub. Der verwaltete Gemini-API-Schlüssel wird von AD Promotion nach der Installation in AS24CI\Ai_Config bereitgestellt; im WordPress-Backend muss kein KI-Anbieter, Modell oder API-Schlüssel eingegeben werden, und es wird kein KI-Schlüssel als WordPress-Option gespeichert.
Cron-Token – ein zufällig generiertes Token, das zur Authentifizierung des REST-Cron-Endpunkts des Plugins verwendet wird, wenn ein externer Server-Cron Importe auslöst. Siehe Server Cron Setup.
Webhook-Secret – ein gemeinsames Geheimnis (Shared Secret), das zum Signieren ausgehender Webhook-Payloads mit HMAC-SHA256 verwendet wird. Siehe Webhook Integration.

Alle diese Werte werden als WordPress-Optionen auf der Website gespeichert, auf der das Plugin läuft. Sie werden niemals mit dem Plugin selbst ausgeliefert und müssen immer vom Kunden oder dessen Integrationspartner bereitgestellt werden.

Woher die Werte normalerweise stammen

Zugangsdaten	Ausgestellt von	Hinweise
AutoScout24 Client ID / Client Secret	AutoScout24 oder der Integrationspartner, der den API-Zugriff für die Garage bereitstellt.	AD Promotion stellt diese nicht aus. Der Website-Login der Garage ist keine API-Zugangsdaten.
AutoScout24 Seller ID(s)	AutoScout24 oder der Integrationspartner.	Die Seller ID ist eine stabile Konto-Identifikationsnummer, nicht der Anzeigename der Garage.
API-Basis-URL	AutoScout24 oder der Integrationspartner.	Bestimmt, mit welcher Umgebung das Plugin kommuniziert. Es gibt keinen fest einprogrammierten Host im Plugin.
AI Assistant (verwaltetes Gemini)	Bereitgestellt von AD Promotion als Teil der verwalteten KI-Einrichtung.	Gespeichert als PHP-Konstante in `AS24CI\Ai_Config`, nicht in `wp_options`, und wird im WordPress-Backend niemals offengelegt. Der Kunde gibt keinen KI-Anbieter, kein Modell und keinen API-Schlüssel ein.
Cron-Token	Wird automatisch vom Plugin generiert und im Tab "Import & Limits" angezeigt.	Jeder, der das Token kennt, kann einen Import auslösen. Behandeln Sie es als Geheimnis.
Webhook-Secret	Definiert von der Garage oder dem Betreiber des Empfängersystems; kopiert in das Plugin und in den Empfänger.	Optional. Ohne dieses Secret werden keine Payload-Signaturen generiert.

Wenn ein Wert unbekannt ist, erfinden Sie keinen. Fordern Sie ihn bei der Partei an, der das entsprechende System gehört.

Was nicht veröffentlicht werden darf

Die folgenden Werte dürfen niemals an einem öffentlichen Ort erscheinen (öffentliche Git-Repositories, öffentliche Ticket-Kommentare, in Marketingmaterialien eingebettete Screenshots, Blogbeiträge, KI-Assistenten ohne Vertraulichkeitsgarantie, öffentliche Chat-Kanäle oder freigegebene Dokumente, die ausserhalb der Garage / Agentur zugänglich sind):

AutoScout24 Client Secret und jedes andere OAuth-Geheimnis.
Das Cron-Token des Plugins (jeder mit dem Token kann Importe auslösen).
Das Webhook-Secret.
Vollständige Request-URLs, die bereits einen ?token=...-Query-Parameter enthalten.
Datenbank-Backups, wp_options-Exporte oder vollständige Plugin-Diagnose-Exporte ohne vorherige Schwärzung.
Interne Hostnamen, private Endpunkte oder nicht-öffentliche URLs, die Teil der Integration sind.
Personenbezogene Daten von Leads, Garagen-Mitarbeitern oder Kunden.

Die AutoScout24 Client ID, die Seller ID und die API-Basis-URL sind technisch gesehen keine Geheimnisse im gleichen Sinne wie ein Client Secret, aber sie identifizieren das Garagen-Konto und sollten dennoch vertraulich behandelt und nur mit Personen geteilt werden, die sie legitimerweise benötigen.

Regeln für den sicheren Umgang

Nutzen Sie einen sicheren Kanal. Empfangen und leiten Sie Zugangsdaten über einen Passwort-Manager, eine Ende-zu-Ende-verschlüsselte Nachricht oder ein sicheres Dateiübertragungstool weiter. Einfache E-Mails und unverschlüsselte Chats sind nicht zulässig.
Begrenzen Sie den Kreis der Eingeweihten. Nur Personen, die die Integration tatsächlich konfigurieren oder betreiben, benötigen die Werte. Entziehen Sie den Zugriff, wenn Personen das Projekt verlassen.
Halten Sie eine Master-Kopie ausserhalb von WordPress. Der zentrale Passwort-Manager der Garage ist die Quelle der Wahrheit (Source of Truth). Die WordPress-Installation ist nur ein Nutzer der Zugangsdaten.
Rotieren Sie nach einer Offenlegung. Wenn Zugangsdaten durchsickern, fordern Sie unverzüglich eine Rotation bei der ausstellenden Partei an, aktualisieren Sie dann den Wert im Plugin und führen Sie den Verbindungstest erneut aus. Regenerieren Sie das Cron-Token im Tab "Import & Limits". Ändern Sie das Webhook-Secret sowohl im Plugin als auch im Empfängersystem.
Rotieren Sie bei personellen Veränderungen. Wenn eine Person, die mit Zugangsdaten gearbeitet hat, keinen Zugriff mehr benötigt (z. B. wenn ein Mitarbeiter die Garage oder die Agentur verlässt), rotieren Sie die betroffenen Zugangsdaten. Das Löschen ihres WordPress-Kontos macht Werte, die sie zuvor kopiert haben könnten, nicht ungültig.
Übertragen Sie keine Zugangsdaten in den Quellcode. Committen Sie Zugangsdaten niemals in Git, in ein Theme, in ein mu-plugin oder in eine andere Datei, die in der Versionsverwaltung landet.
Achten Sie auf den Feldtyp. Das Plugin stellt das AutoScout24 Client Secret als Passwort-Eingabefeld dar, das beim Neuladen der Seite absichtlich nicht mit dem bestehenden Wert vorausgefüllt wird. Geben Sie den Wert nur dann neu ein, wenn Sie ihn tatsächlich ändern möchten. Das Cron-Token wird ebenfalls mit einem Steuerelement zum Ein-/Ausblenden dargestellt – lassen Sie es beim Teilen von Screenshots ausgeblendet.

Koordination von Zugangsdaten mit Integrationsanbietern

Folgen Sie bei jeder Integration diesem Koordinationsmuster:

Fordern Sie den Zugriff über die Garage an. Die Garage ist der Kontoinhaber. Die Bereitstellung erfordert normalerweise eine Anfrage der Garage, selbst wenn eine Agentur oder ein Partner die technischen Arbeiten übernimmt.
Einigen Sie sich auf die Umgebung. Bestätigen Sie mit dem Anbieter, für welche API-Basis-URL die Zugangsdaten gültig sind. Das Mischen von Werten aus verschiedenen Umgebungen ist die häufigste Ursache für Authentifizierungsfehler.
Bestätigen Sie den Autorisierungsumfang. Bestätigen Sie für AutoScout24, dass das Paar aus Client ID / Client Secret für jede Seller ID autorisiert ist, die importiert werden soll. Garagen mit mehreren Standorten oder Marken erfordern oft eine explizite Autorisierung pro Seller ID.
Empfangen Sie Werte sicher. Siehe die obigen Regeln für den sicheren Umgang.
Konfigurieren und testen Sie auf der WordPress-Website. Verwenden Sie die Einrichtung der API-Zugangsdaten und den Verbindungstest, bevor Sie automatisierte Importe aktivieren.
Dokumentieren Sie die Zuständigkeiten. Halten Sie in der internen Dokumentation der Garage fest, wer der Ansprechpartner beim API-Anbieter ist, wer die Werte wann ausgestellt hat und wo die Master-Kopie der Zugangsdaten gespeichert ist.
Planen Sie die Rotation. Vereinbaren Sie einen Prozess für die Rotation von Zugangsdaten, sowohl in regelmässigen Abständen als auch bei Bedarf (nach einem Datenleck, nach Personalwechseln, nach einem schwerwiegenden Vorfall).

Für den AI Assistant ist die verwaltete Google Gemini-Konfiguration in AS24CI\Ai_Config die Quelle der Wahrheit. Der Kunde konfiguriert, speichert oder rotiert keinen API-Schlüssel eines KI-Anbieters im WordPress-Backend; AD Promotion kümmert sich um die Bereitstellung des verwalteten Gemini.

Informationen für den Support teilen, ohne Geheimnisse preiszugeben

Wenn Sie Konfigurations- oder Log-Informationen mit AD Promotion oder einem anderen Support-Ansprechpartner teilen müssen:

Verwenden Sie die in der Checkliste für Support-Informationen beschriebenen Support-Informationen.
Schwärzen Sie Geheimnisse vor dem Teilen. Ersetzen Sie mindestens das AutoScout24 Client Secret, das Cron-Token und das Webhook-Secret durch [REDACTED].
Ersetzen Sie bei URLs, die einen ?token=...-Query-Parameter enthalten, das Token durch [REDACTED], bevor Sie die URL in ein Ticket einfügen.
Schneiden oder verpixeln Sie die relevanten Bereiche von Screenshots, die Geheimnisse preisgeben würden.
Das Log-Verzeichnis des Plugins in wp-content/uploads/as24ci-logs/ schreibt das Client Secret nicht im Klartext, kann aber URLs und Request-Metadaten enthalten. Behandeln Sie das Log-Verzeichnis als vertraulich und prüfen Sie Auszüge, bevor Sie sie teilen.

Speicherung auf der WordPress-Website

Zugangsdaten werden als Standard-WordPress-Optionen gespeichert. Sie können von jedem Code mit Datenbankzugriff auf derselben Website gelesen werden (andere Plugins, Themes, mu-plugins, Prozesse auf Serverebene).
Datenbank-Backups, wp_options-Exporte und vollständige Server-Snapshots enthalten daher die Zugangsdaten. Wenden Sie dieselben Schutzmassnahmen an wie für jedes andere Backup, das Geheimnisse enthält.
Das Plugin überträgt keine Zugangsdaten an AD Promotion oder an andere Dritte ausser an den API-Anbieter, für den die Zugangsdaten bestimmt sind. Die AutoScout24-Zugangsdaten werden nur an die konfigurierte API-Basis-URL gesendet. KI-Prompts gehen an den von AD Promotion in AS24CI\Ai_Config konfigurierten verwalteten Google Gemini-Endpunkt.
Details darüber, was das Plugin in der Datenbank speichert, finden Sie in der Datenbelegungs-Übersicht und der Datenbank- und Speicher-Referenz.

Betriebliche Hinweise

Umgebungsspezifische Zugangsdaten. Verwenden Sie unterschiedliche Zugangsdaten pro Umgebung (Produktion, Staging, lokal). Verweisen Sie mit einer Staging-WordPress-Website nicht auf produktive AutoScout24-Zugangsdaten, es sei denn, Sie haben dies ausdrücklich mit der Garage vereinbart; andernfalls können Staging-Aktivitäten die Analytics verfälschen, Lead-E-Mails auslösen oder unerwünschte Webhook-Aufrufe generieren.
Migration zwischen Umgebungen. Wenn Sie eine Datenbank von der Produktion auf das Staging kopieren (oder umgekehrt), überprüfen Sie jedes Feld für Zugangsdaten auf der Zielseite. Siehe Migration von Staging zu Live.
Deinstallation. Wenn das Plugin deinstalliert wird und die Option Daten bei Deinstallation löschen aktiviert ist, werden die gespeicherten Optionen – einschliesslich der Zugangsdaten – aus der Datenbank gelöscht. Wenn die Option deaktiviert ist, verbleiben die Zugangsdaten nach der Deinstallation in der Datenbank. Siehe Deinstallations- und Bereinigungsverhalten.
Verhalten in der aktuellen Version überprüfen. Spezifische UI-Labels, Standardwerte und genaue Speicherschlüssel können sich zwischen den Versionen ändern. Überprüfen Sie dieses Verhalten in der aktuellen Plugin-Version, bevor Sie kundenorientierte Anweisungen veröffentlichen.

Fehlerbehebung

Symptom	Wahrscheinliche Ursache	Was zu prüfen ist
Authentifizierung schlägt direkt nach einer Änderung der Zugangsdaten fehl.	Ein bereits vorhandenes Access-Token ist noch im Cache gespeichert.	Löschen Sie den Token-Cache unter Car Market Hub → Tools und führen Sie den Verbindungstest erneut aus.
Authentifizierung schlägt fehl, obwohl die Werte "korrekt aussehen".	Unsichtbare Leerzeichen, typografische Anführungszeichen oder ein vertauschtes Zeichen (`0` vs. `O`, `1` vs. `l`).	Fügen Sie jeden Wert zuerst in einen Nur-Text-Editor ein, entfernen Sie Leerzeichen am Anfang und Ende und fügen Sie ihn dann in das Feld ein.
Das Plugin meldet, dass keine Zugangsdaten konfiguriert sind.	Die Werte wurden eingegeben, aber das Formular wurde nicht abgesendet, oder ein Sicherheits-Plugin hat die Anfrage blockiert.	Öffnen Sie den entsprechenden Einstellungs-Tab erneut und überprüfen Sie, ob die Werte gespeichert sind. Deaktivieren Sie Sicherheits-Plugins vorübergehend, falls sie das Absenden von Admin-Formularen stören.
Cron-Endpunkt gibt 403 zurück.	Das Cron-Token in der URL stimmt nicht mit dem gespeicherten Token überein oder das Token wurde neu generiert.	Kopieren Sie die aktuelle REST-Trigger-URL aus dem Tab "Import & Limits" in Ihren Server-Cronjob. Siehe Server-Cron-Einrichtung.
Webhook-Empfänger lehnt Payloads mit einer ungültigen Signatur ab.	Das Webhook-Secret im Plugin und im Empfänger stimmen nicht mehr überein.	Kopieren Sie das Secret auf beiden Seiten neu und senden Sie ein Testereignis. Siehe Webhook-Integration.
Ein Zugangsdaten-Wert scheint in ein Log oder ein Ticket gelangt zu sein.	Die Schwärzung war unvollständig.	Ändern Sie die Zugangsdaten unverzüglich beim Aussteller, aktualisieren Sie sie anschliessend im Plugin und testen Sie erneut.