Skip to main content

​
Ablauf

  1. GET /api/auth/login startet die Microsoft-Anmeldung.
  2. Der Browser durchläuft den externen Anmeldevorgang.
  3. GET /api/auth/callback verarbeitet die Rückkehr und richtet die Sitzung ein.
  4. GET /api/auth/me liefert den Anmeldestand beziehungsweise Benutzerkontext.
  5. POST /api/auth/logout beendet den vorgesehenen Abmeldevorgang.
Die genauen Redirects und Fehlerantworten hängen vom Sitzungs- und Anmeldestand ab. Der Callback ist kein Endpunkt, an den Integrationen selbst erfundene Tokens senden sollen. Geschützte fachliche Endpunkte erwarten die serverseitige Anwendungssitzung. Das Cookie heißt pachtify360.sid, ist HTTP-only und in Produktion Secure. Die OpenAPI-Datei beschreibt es als Cookie-Sicherheitsschema. Ein sevDesk-Token authentifiziert nicht gegenüber Pachtify360. Auch ein Microsoft-Token ist nicht automatisch ein allgemeines Pachtify360-Bearer-Token.

​
Rollen und Fehler

Fehlende gültige Anmeldung führt typischerweise zu 401. Unzureichende Rolle führt zu 403. Schreibende fachliche Aktionen sind grundsätzlich für Administrator, Verwalter und Mitarbeiter vorgesehen; endpunktspezifische Einschränkungen gelten zusätzlich. Auditoren dürfen überwiegend lesen. Beachte die gesonderte Ausnahme für Feedback und strengere administrative Schutzprüfungen. Die generische Sicherheit in OpenAPI ersetzt nicht die Prüfung der Einzelroute.

​
Kein öffentlicher Testzugang

Es gibt in dieser Dokumentation keine echten Sitzungscookies oder Notfallkennwörter. Verwende den Break-Glass-Endpunkt nicht als Integrations- oder Lasttest-Anmeldung.