Dokumentation · Integrationshandbuch

Externe API-Zugangsdaten

Dieses Dokument erklärt, wie Sie mit den vom ADP Car Market Hub-Plugin verwendeten externen API-Zugangsdaten sicher umgehen. Es beschreibt, woher die Zugangsdaten normalerweise stammen, was niemals veröffentlicht werden darf, wie Werte mit den ausstellenden Anbietern koordiniert werden und wie Informationen für den Support geteilt werden können, ohne Geheimnisse preiszugeben.

Es richtet sich an alle Administratoren, Integratoren oder Partner, die Zugangsdaten im Namen eines Autohauses verwalten.

Wann Sie dieses Dokument verwenden sollten

Verwenden Sie dieses Dokument, wenn Sie:

Zum ersten Mal Zugangsdaten von einem Anbieter erhalten und wissen müssen, wie Sie diese sicher speichern und weiterleiten.
Die Rotation von Zugangsdaten zwischen dem Autohaus, dem API-Anbieter und der WordPress-Website koordinieren.
Eine Supportanfrage, einen Screenshot oder einen Export vorbereiten und wissen müssen, was unkenntlich gemacht werden muss.
Überprüfen, wie Zugangsdaten auf einer WordPress-Installation gespeichert sind.

Übersicht

Das Plugin kann Zugangsdaten für mehrere unabhängige Integrationen verwalten. Die genaue Auswahl hängt davon ab, welche Funktionen aktiviert sind, aber typische Beispiele sind:

AutoScout24-API – die vom Importer verwendete OAuth Client ID, das Client Secret und die Seller-ID(s). Siehe AutoScout24-API-Einrichtung.
KI-Assistent – verwendet die verwaltete Google Gemini-Konfiguration in ADP Car Market Hub. Der verwaltete Gemini-API-Schlüssel wird von AD Promotion nach der Installation in AS24CI\Ai_Config bereitgestellt; im WordPress-Backend muss kein KI-Anbieter, Modell oder API-Schlüssel eingegeben werden, und es wird kein KI-Schlüssel als WordPress-Option gespeichert.
Cron-Token – ein zufällig generiertes Token zur Authentifizierung des REST-Cron-Endpunkts des Plugins, wenn ein externer Server-Cron Importe auslöst. Siehe Server-Cron-Einrichtung.
Webhook-Geheimnis – ein gemeinsames Geheimnis (Shared Secret), das verwendet wird, um ausgehende Webhook-Payloads mit HMAC-SHA256 zu signieren. Siehe Webhook-Integration.

Alle diese Werte werden als WordPress-Optionen auf der Website gespeichert, auf der das Plugin läuft. Sie werden niemals mit dem Plugin selbst ausgeliefert und müssen immer vom Kunden oder dessen Integrationspartner bereitgestellt werden.

Woher die Werte normalerweise stammen

Zugangsdaten	Ausgestellt von	Hinweise
AutoScout24 Client ID / Client Secret	AutoScout24 oder der Integrationspartner, der den API-Zugang für das Autohaus bereitstellt.	AD Promotion stellt diese nicht aus. Der Website-Login des Autohauses ist keine API-Zugangsdaten.
AutoScout24 Seller-ID(s)	AutoScout24 oder der Integrationspartner.	Die Seller-ID ist eine feste Konto-ID, nicht der Anzeigename des Autohauses.
API-Basis-URL	AutoScout24 oder der Integrationspartner.	Bestimmt, mit welcher Umgebung das Plugin kommuniziert. Es gibt keinen fest einprogrammierten Host im Plugin.
KI-Assistent (verwaltetes Gemini)	Bereitgestellt von AD Promotion als Teil der verwalteten KI-Einrichtung.	Gespeichert als PHP-Konstante in `AS24CI\Ai_Config`, nicht in `wp_options`, und wird niemals im WordPress-Backend offengelegt. Der Kunde gibt keinen KI-Anbieter, kein Modell und keinen API-Schlüssel ein.
Cron-Token	Automatisch vom Plugin generiert und im Reiter „Import & Limits“ angezeigt.	Jeder, der das Token kennt, kann einen Import auslösen. Behandeln Sie es als Geheimnis.
Webhook-Geheimnis	Definiert vom Autohaus oder dem Betreiber des Empfängersystems; in das Plugin und den Empfänger kopiert.	Optional. Ohne dieses Geheimnis werden keine Payload-Signaturen generiert.

Wenn ein Wert unbekannt ist, erfinden Sie keinen. Fordern Sie ihn bei der Partei an, der das entsprechende System gehört.

Was nicht veröffentlicht werden darf

Die folgenden Werte dürfen niemals an öffentlichen Orten auftauchen (öffentliche Git-Repositories, öffentliche Ticket-Kommentare, in Marketingmaterialien eingebettete Screenshots, Blogbeiträge, KI-Assistenten ohne Vertraulichkeitsgarantien, öffentliche Chat-Kanäle oder freigegebene Dokumente, die außerhalb des Autohauses / der Agentur zugänglich sind):

Das AutoScout24 Client Secret und alle anderen OAuth-Geheimnisse.
Das Cron-Token des Plugins (jeder mit dem Token kann Importe auslösen).
Das Webhook-Geheimnis.
Vollständige Anfrage-URLs, die bereits einen ?token=...-Query-Parameter enthalten.
Datenbank-Backups, wp_options-Exporte oder vollständige Plugin-Diagnose-Exporte ohne vorherige Zensur.
Interne Hostnamen, private Endpunkte oder nicht-öffentliche URLs, die Teil der Integration sind.
Personenbezogene Daten von Leads, Autohaus-Mitarbeitern oder Kunden.

Die AutoScout24 Client ID, die Seller-ID und die API-Basis-URL sind technisch gesehen keine Geheimnisse im gleichen Sinne wie ein Client Secret, aber sie identifizieren das Autohaus-Konto und sollten dennoch vertraulich behandelt und nur mit Personen geteilt werden, die sie tatsächlich benötigen.

Regeln für den sicheren Umgang

Nutzen Sie einen sicheren Kanal. Empfangen und leiten Sie Zugangsdaten über einen Passwort-Manager, eine Ende-zu-Ende-verschlüsselte Nachricht oder ein sicheres Dateiübertragungstool weiter. Einfache E-Mails und unverschlüsselte Chats sind nicht zulässig.
Begrenzen Sie den Kreis der Eingeweihten. Nur Personen, die die Integration tatsächlich konfigurieren oder betreiben, benötigen die Werte. Entziehen Sie den Zugriff, wenn Personen das Projekt verlassen.
Halten Sie eine Master-Kopie außerhalb von WordPress. Der zentrale Passwort-Manager des Autohauses ist die Quelle der Wahrheit. Die WordPress-Installation ist nur ein Nutzer der Zugangsdaten.
Nach Offenlegung rotieren. Wenn Zugangsdaten durchsickern, fordern Sie unverzüglich eine Rotation bei der ausstellenden Partei an, aktualisieren Sie dann den Wert im Plugin und führen Sie den Verbindungstest erneut aus. Generieren Sie das Cron-Token im Reiter „Import & Limits“ neu. Ändern Sie das Webhook-Geheimnis sowohl im Plugin als auch im Empfängersystem.
Bei Änderung von Zugriffsberechtigungen rotieren. Wenn eine Person, die mit Zugangsdaten gearbeitet hat, keinen Zugriff mehr benötigt (z. B. wenn ein Mitarbeiter das Autohaus oder die Agentur verlässt), rotieren Sie die betroffenen Zugangsdaten. Das Löschen ihres WordPress-Kontos macht Werte, die sie zuvor kopiert haben könnten, nicht ungültig.
Keine Zugangsdaten im Code hinterlegen. Committen Sie Zugangsdaten niemals in Git, in ein Theme, in ein mu-plugin oder in eine andere Datei, die in der Versionsverwaltung landet.
Achten Sie auf den Feldtyp. Das Plugin stellt das AutoScout24 Client Secret als Passwort-Eingabefeld dar, das beim Neuladen der Seite absichtlich nicht mit dem bestehenden Wert vorausgefüllt wird. Geben Sie den Wert nur dann neu ein, wenn Sie ihn tatsächlich ändern möchten. Das Cron-Token wird ebenfalls mit einer Einblenden/Ausblenden-Schaltfläche dargestellt – lassen Sie es beim Teilen von Screenshots ausgeblendet.

Koordination von Zugangsdaten mit Integrationsanbietern

Befolgen Sie bei jeder Integration dieses Koordinationsmuster:

Zugang über das Autohaus anfordern. Das Autohaus ist der Kontoinhaber. Die Bereitstellung erfordert in der Regel eine Anfrage des Autohauses, selbst wenn eine Agentur oder ein Partner die technischen Arbeiten übernimmt.
Umgebung abstimmen. Bestätigen Sie mit dem Anbieter, für welche API-Basis-URL die Zugangsdaten gültig sind. Das Mischen von Werten aus verschiedenen Umgebungen ist die häufigste Ursache für Authentifizierungsfehler.
Autorisierungsbereich bestätigen. Bestätigen Sie für AutoScout24, dass das Paar aus Client ID und Client Secret für jede Seller-ID autorisiert ist, die importiert werden soll. Autohäuser mit mehreren Standorten/Seller-IDs erfordern oft eine explizite Autorisierung pro Seller-ID.
Werte sicher empfangen. Siehe Regeln für den sicheren Umgang oben.
Auf der WordPress-Website konfigurieren und testen. Verwenden Sie die API-Zugangsdaten-Einrichtung und den Verbindungstest, bevor Sie automatisierte Importe aktivieren.
Dokumentieren, wer was besitzt. Halten Sie in der internen Dokumentation des Autohauses fest, wer der Ansprechpartner beim API-Anbieter ist, wer die Werte wann ausgestellt hat und wo die Master-Kopie der Zugangsdaten gespeichert ist.
Rotation einplanen. Vereinbaren Sie einen Prozess zur Rotation von Zugangsdaten, sowohl in regelmäßigen Abständen als auch bei Bedarf (nach einem Datenleck, nach Personalwechseln, nach einem schwerwiegenden Vorfall).

Für den KI-Assistenten ist die verwaltete Google Gemini-Konfiguration in AS24CI\Ai_Config die Quelle der Wahrheit. Der Kunde konfiguriert, speichert oder rotiert keinen API-Schlüssel eines KI-Anbieters im WordPress-Backend; AD Promotion kümmert sich um die Bereitstellung des verwalteten Gemini-Dienstes.

Informationen für den Support teilen, ohne Geheimnisse preiszugeben

Wenn Sie Konfigurations- oder Protokollinformationen mit AD Promotion oder einem anderen Support-Ansprechpartner teilen müssen:

Verwenden Sie die in der Checkliste für Support-Informationen beschriebenen Support-Informationen.
Machen Sie Geheimnisse vor dem Teilen unkenntlich. Ersetzen Sie mindestens das AutoScout24 Client Secret, das Cron-Token und das Webhook-Geheimnis durch [REDACTED].
Ersetzen Sie bei URLs, die einen ?token=...-Query-Parameter enthalten, das Token durch [REDACTED], bevor Sie die URL in ein Ticket einfügen.
Schneiden Sie die relevanten Abschnitte von Screenshots zu oder verpixeln Sie sie, wenn diese Geheimnisse preisgeben würden.
Das Protokollverzeichnis des Plugins in wp-content/uploads/as24ci-logs/ schreibt das Client Secret nicht im Klartext, kann aber URLs und Anfrage-Metadaten enthalten. Behandeln Sie das Protokollverzeichnis als vertraulich und prüfen Sie Auszüge, bevor Sie sie teilen.

Speicherung auf der WordPress-Website

Zugangsdaten werden als Standard-WordPress-Optionen gespeichert. Sie können von jedem Code mit Datenbankzugriff auf derselben Website gelesen werden (andere Plugins, Themes, mu-plugins, Prozesse auf Serverebene).
Datenbank-Backups, wp_options-Exporte und vollständige Server-Snapshots enthalten daher die Zugangsdaten. Wenden Sie dieselben Schutzmaßnahmen an wie für jedes andere Backup, das Geheimnisse enthält.
Das Plugin überträgt keine Zugangsdaten an AD Promotion oder an Dritte, die nicht der API-Anbieter sind, für den die Zugangsdaten bestimmt sind. Die AutoScout24-Zugangsdaten werden nur an die konfigurierte API-Basis-URL gesendet. KI-Prompts gehen an den von AD Promotion in AS24CI\Ai_Config konfigurierten verwalteten Google Gemini-Endpunkt.
Details darüber, was das Plugin in der Datenbank speichert, finden Sie in der Datenspeicherungs-Übersicht und der Datenbank- und Speicherreferenz.

Betriebliche Hinweise

Umgebungsspezifische Zugangsdaten. Verwenden Sie für jede Umgebung (Produktion, Staging, lokal) unterschiedliche Zugangsdaten. Verweisen Sie mit einer Staging-WordPress-Website nicht auf produktive AutoScout24-Zugangsdaten, es sei denn, dies wurde ausdrücklich mit dem Autohaus vereinbart; Staging-Aktivitäten können andernfalls Statistiken verfälschen, Lead-E-Mails auslösen oder unerwünschte Webhook-Aufrufe generieren.
Migration zwischen Umgebungen. Wenn Sie eine Datenbank von der Produktion auf das Staging kopieren (oder umgekehrt), überprüfen Sie jedes Zugangsdatenfeld auf der Zielseite. Siehe Migration von Staging zu Live.
Deinstallation. Wenn das Plugin mit der aktivierten Option Daten bei Deinstallation löschen deinstalliert wird, werden die gespeicherten Optionen – einschließlich der Zugangsdaten – aus der Datenbank entfernt. Wenn die Option deaktiviert ist, verbleiben die Zugangsdaten nach der Deinstallation in der Datenbank. Siehe Deinstallations- und Bereinigungsverhalten.
Verhalten in der aktuellen Version überprüfen. Spezifische UI-Labels, Standardwerte und genaue Speicherschlüssel können sich zwischen den Versionen ändern. Überprüfen Sie dieses Verhalten in der aktuellen Plugin-Version, bevor Sie Anweisungen für Kunden veröffentlichen.

Fehlerbehebung

Symptom	Wahrscheinliche Ursache	Was zu prüfen ist
Authentifizierung schlägt sofort nach einer Änderung der Zugangsdaten fehl.	Ein bereits vorhandenes Access-Token ist noch im Cache gespeichert.	Leeren Sie den Token-Cache unter Car Market Hub → Tools und führen Sie den Verbindungstest erneut aus.
Authentifizierung schlägt fehl, obwohl die Werte "korrekt aussehen".	Unsichtbare Leerzeichen, typografische Anführungszeichen oder ein vertauschtes Zeichen (`0` vs. `O`, `1` vs. `l`).	Fügen Sie jeden Wert zuerst in einen Nur-Text-Editor ein, entfernen Sie Leerzeichen und fügen Sie ihn dann in das Feld ein.
Das Plugin meldet, dass keine Zugangsdaten konfiguriert sind.	Die Werte wurden eingegeben, aber das Formular wurde nicht abgesendet, oder ein Sicherheits-Plugin hat die Anfrage blockiert.	Öffnen Sie den entsprechenden Einstellungs-Tab erneut und bestätigen Sie, dass die Werte gespeichert sind. Deaktivieren Sie Sicherheits-Plugins vorübergehend, wenn sie die Übermittlung von Admin-Formularen stören.
Cron-Endpunkt gibt 403 zurück.	Das Cron-Token in der URL stimmt nicht mit dem gespeicherten Token überein oder das Token wurde neu generiert.	Kopieren Sie die aktuelle REST-Trigger-URL aus dem Tab "Import & Limits" in Ihren Server-Cronjob. Siehe Server-Cron-Einrichtung.
Webhook-Empfänger lehnt Payloads mit einer ungültigen Signatur ab.	Das Webhook-Secret im Plugin und im Empfänger stimmen nicht mehr überein.	Kopieren Sie das Secret auf beiden Seiten erneut und senden Sie ein Testereignis. Siehe Webhook-Integration.
Ein Zugangsdaten-Wert scheint in ein Protokoll oder ein Ticket gelangt zu sein.	Die Schwärzung war unvollständig.	Ändern Sie die Zugangsdaten unverzüglich beim Aussteller, aktualisieren Sie sie dann im Plugin und testen Sie erneut.