> ## Documentation Index
> Fetch the complete documentation index at: https://docs.pachtify360.de/llms.txt
> Use this file to discover all available pages before exploring further.

# Sitzungen und Berechtigungen

> Microsoft-Login, Cookies und serverseitige Zugriffskontrolle.

## Ablauf

1. `GET /api/auth/login` startet die Microsoft-Anmeldung.
2. Der Browser durchläuft den externen Anmeldevorgang.
3. `GET /api/auth/callback` verarbeitet die Rückkehr und richtet die Sitzung ein.
4. `GET /api/auth/me` liefert den Anmeldestand beziehungsweise Benutzerkontext.
5. `POST /api/auth/logout` beendet den vorgesehenen Abmeldevorgang.

Die genauen Redirects und Fehlerantworten hängen vom Sitzungs- und
Anmeldestand ab. Der Callback ist kein Endpunkt, an den Integrationen
selbst erfundene Tokens senden sollen.

## Cookie statt Bearer-Token

Geschützte fachliche Endpunkte erwarten die serverseitige Anwendungssitzung.
Das Cookie heißt `pachtify360.sid`, ist HTTP-only und in Produktion `Secure`.
Die OpenAPI-Datei beschreibt es als Cookie-Sicherheitsschema.

Ein sevDesk-Token authentifiziert nicht gegenüber Pachtify360.
Auch ein Microsoft-Token ist nicht automatisch ein allgemeines
Pachtify360-Bearer-Token.

## Rollen und Fehler

Fehlende gültige Anmeldung führt typischerweise zu `401`.
Unzureichende Rolle führt zu `403`.
Schreibende fachliche Aktionen sind grundsätzlich für Administrator,
Verwalter und Mitarbeiter vorgesehen; endpunktspezifische Einschränkungen
gelten zusätzlich. Auditoren dürfen überwiegend lesen.

Beachte die gesonderte Ausnahme für Feedback und strengere administrative
Schutzprüfungen. Die generische Sicherheit in OpenAPI ersetzt nicht die
Prüfung der Einzelroute.

## Kein öffentlicher Testzugang

Es gibt in dieser Dokumentation keine echten Sitzungscookies oder
Notfallkennwörter. Verwende den Break-Glass-Endpunkt nicht als
Integrations- oder Lasttest-Anmeldung.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.