Die Schnittstelle: erster Aufruf in fünf Minuten

PetWorkers Wave hat eine eigene Schnittstelle. Über sie kann ein anderes Programm alles abfragen und anlegen, was du auch über die Oberfläche pflegst — Kontakte, Tiere, Termine, Rechnungen, Buchungen, Seiten, Einstellungen. Insgesamt sind das über 220 Bereiche.

Wofür man das braucht:

• Kontakte mit dem Newsletter-Werkzeug oder dem Buchhaltungsprogramm abgleichen
• Buchungen aus einem Onlineshop oder einem eigenen Formular übernehmen
• Auswertungen in Excel, Power BI oder Google Sheets ziehen
• Abläufe automatisieren, etwa mit n8n, Make oder Zapier
• eine eigene App oder ein Kassensystem anbinden

1. Was du brauchst

Einen API-Schlüssel. Den legst du in der Software an, und er entscheidet, was das aufrufende Programm darf.

1. Melde dich als Administrator an.
2. Gehe auf System → API-Schlüssel.
3. Klicke auf Schlüssel anlegen.
4. Gib eine Bezeichnung ein, an der du den Zugang später wiedererkennst — zum Beispiel „Buchhaltung DATEV“ oder „Website-Formular“.
5. Wähle die Berechtigungsstufe. Nimm die niedrigste, die reicht. Wer nur Kontakte lesen soll, braucht keine Administratorrechte.
6. Schalte Schreiben erlauben aus, wenn das Programm nur lesen soll. Das ist die wirksamste einzelne Sicherheitsmaßnahme überhaupt.
7. Trage die Gültigkeit in Tagen ein. 365 ist ein guter Wert. 0 bedeutet unbegrenzt.
8. Speichern.

Der Schlüssel steht danach in der Liste. Über das Symbol daneben kopierst du ihn in die Zwischenablage. Er sieht so aus:

3f7c9a2e-4b81-4d6f-9a03-7c5e12f8ab44

2. Der erste Aufruf

Der Schlüssel gehört in den Kopf jeder Anfrage. Der einfachste Test — ersetze die Adresse durch deine eigene:

curl -H "Authorization: Bearer 3f7c9a2e-4b81-4d6f-9a03-7c5e12f8ab44" \
     https://deine-adresse.de/api/v1/me

Die Antwort sagt dir, was dieser Schlüssel darf:

{
  "data": {
    "key": { "label": "Buchhaltung DATEV", "masked": "3f7c9a2e…ab44" },
    "permissions": {
      "securitygroup_label": "Buchhaltung",
      "can_write": false,
      "accessible_resources": ["invoices", "lineitems", "payments", ...]
    },
    "validity": { "days_remaining": 365, "unlimited": false },
    "firewall": { "rate_limit": 120, "your_ip": "203.0.113.7" }
  }
}

Kommt diese Antwort, ist alles eingerichtet. Kommt stattdessen ein Fehler, hilft die Seite Wenn etwas nicht geht in diesem Kapitel weiter.

3. Was es sonst noch gibt

Die Schnittstelle beschreibt sich selbst. Du musst nichts abtippen und nichts raten:

/api/v1/	Welche Bereiche gibt es, und was darf mein Schlüssel damit?
/api/v1/me	Angaben zum Schlüssel: Stufe, Restlaufzeit, Tempo, erkannte Absender-Adresse
/api/v1/health	Kurze Statusmeldung — eignet sich für eine Überwachung
/api/v1/<bereich>/_schema	Welche Felder hat ein Bereich, welche sind Pflicht, wonach kann ich sortieren?
/api/v1/openapi.json	Die vollständige Beschreibung zum Einlesen in Postman, Insomnia, n8n und andere Werkzeuge

Ruf einmal /api/v1/ auf. Du bekommst eine Liste aller Bereiche mit ihren deutschen Bezeichnungen — das ist die beste Übersicht, die es gibt, weil sie genau deine Instanz beschreibt.

4. Fertige Beispiele

Unter https://deine-adresse.de/api/beispiele/ liegen lauffähige Beispiele in fünf Sprachen: PHP, Python, JavaScript (Node), PowerShell und curl. Dazu eine Postman-Sammlung mit über 1800 vorbereiteten Anfragen.

Alles zusammen gibt es auch als ZIP-Paket. Die Beispiele zeigen jeweils denselben Ablauf: anmelden, lesen, blättern, filtern, anlegen, ändern, löschen, Fehler behandeln.

5. Ein Wort zur Sicherheit

Ein API-Schlüssel ist wie ein Kennwort. Drei Dinge sind wichtig:

• Niedrigste ausreichende Stufe wählen. Ein Schlüssel für eine Auswertung braucht keine Schreibrechte.
• Gültigkeit begrenzen. Ein Schlüssel, der nach einem Jahr abläuft, kann nicht ewig herumliegen.
• Absender einschränken, wenn möglich. Läuft das aufrufende Programm auf einem festen Server, trage dessen Adresse in die IP-Freigabeliste ein. Dann ist der Schlüssel woanders wertlos.

Mehr dazu auf der Seite Berechtigungen und Firewall.