Authentifizierung
API-Schlüssel, Berechtigungen und Limits.
API-Schlüssel
Jede Anfrage an die REST-API und den MCP-Server benötigt einen Schlüssel im Header:
Authorization: Bearer ack_live_…
Alternativ wird X-API-Key: ack_live_… akzeptiert (praktisch für Tools wie n8n oder Make). Schlüssel werden von uns ausgegeben, nur einmal angezeigt und bei uns ausschließlich als Hashwert gespeichert. Behandeln Sie sie wie Passwörter und übertragen Sie sie nie in Browser-Code.
Berechtigungen (Scopes)
| Scope | Erlaubt |
|---|---|
numbers:read |
Nummern, Status, Qualität lesen |
messages:send |
Nachrichten senden, als gelesen markieren, Medien hochladen |
media:read |
Empfangene Medien herunterladen |
templates:read |
Vorlagen lesen |
templates:write |
Vorlagen erstellen und löschen |
webhooks:read |
Webhook-Endpunkte und Zustellprotokoll lesen |
webhooks:write |
Webhook-Endpunkte verwalten |
connect:write |
Verbindungslinks erstellen |
sync:write |
Kontakt- und Verlaufssynchronisation starten |
profile:read / profile:write |
Unternehmensprofil lesen / ändern |
credentials:read |
Meta-Zugangstoken im Klartext abrufen (nur auf Anfrage) |
Fehlt ein Scope, antwortet die API mit 403 insufficient_scope.
Limits
Pro Schlüssel gilt ein Limit pro Minute (Standard 300 Anfragen). Die aktuellen Werte stehen in den Antwort-Headern RateLimit-Limit, RateLimit-Remaining und RateLimit-Reset. Bei Überschreitung erhalten Sie 429 mit Retry-After.
Unabhängig davon begrenzt Meta den Versand bei Coexistence-Nummern auf 20 Nachrichten pro Sekunde sowie auf das Versandlimit Ihres Kontos.
OAuth für KI-Werkzeuge
Für MCP-Clients wie Claude oder ChatGPT steht ein OAuth-2.1-Server bereit (Autorisierungscode mit PKCE). Bei der Anmeldung geben Sie Ihren API-Schlüssel ein; das ausgestellte Token erbt dessen Berechtigungen und wird ungültig, sobald der Schlüssel widerrufen wird. Details unter MCP.