Das Wichtigste in Kürze
- Die offizielle Xentral-API-Dokumentation findest du hier.
- Personal Access Tokens erhalten gezielte Rechte und ein Ablaufdatum.
- Eine Rechteänderung erfordert laut Xentral einen neuen Token; plane den Wechsel ohne Unterbrechung.
Ein Personal Access Token, kurz PAT, ermöglicht einer Anwendung den Zugriff auf die Xentral-API. Er ist ein Zugang mit festgelegten Rechten und einer Laufzeit. Für eine wartbare Integration reicht es deshalb nicht, den Token einmal zu erzeugen: Zweck, Verantwortlicher und späterer Austausch gehören zur Einrichtung.
Du suchst Endpunkte und technische Beispiele? Die offizielle Xentral-API-Dokumentation findest du hier. Die Herstelleranleitung zu PATs ist zusätzlich im Quellenbereich verlinkt.
Vom Anwendungsfall zu den Rechten
Beschreibe zuerst, welche Daten die Anwendung benötigt und welche Änderungen sie ausführen soll. Ein Bericht, der Artikel liest, hat andere Anforderungen als eine Integration, die Aufträge anlegt. Xentral unterscheidet Zugriffsbereiche und Rechte zum Lesen, Erstellen, Aktualisieren und Löschen.
Vergib nur die tatsächlich benötigten Berechtigungen. Auch lesender Zugriff kann sensible Informationen betreffen und sollte bewusst begrenzt werden. Pauschaler administrativer Zugriff ist kein sinnvoller Ersatz für eine geklärte Anforderung. Zusätzliche Aktionen können gesonderte Rechte benötigen; prüfe sie anhand der verwendeten Endpunkte.
Der Zugang allein legt den Datenfluss noch nicht fest. Prüfe bei mehreren beteiligten Systemen, ob Middleware zwischen Shop und ERP erforderlich ist. Für KI-Anwendungen ergänzt die Vorbereitung der ERP-Daten die fachliche Seite der Zugriffsplanung.
Token nachvollziehbar anlegen
Die Herstellerdokumentation führt über die Developer-Einstellungen zum Bereich Personal Access Token. Standardmäßig dürfen Administratoren Tokens erstellen. Vergib einen verständlichen Namen, beschreibe den Zweck und wähle ein Ablaufdatum. Xentral nennt eine voreingestellte Laufzeit von 180 Tagen; der tatsächlich gewählte Wert ist für deinen Betrieb entscheidend.
Der erzeugte Token wird laut Dokumentation nur einmal angezeigt. Hinterlege ihn direkt in der vorgesehenen sicheren Ablage der Anwendung beziehungsweise im Passwort- oder Secrets-Management. Kopiere ihn nicht in Projektprotokolle, öffentliche Beispiele oder Fehlermeldungen.
Die Verbindung gezielt testen
Beginne mit einer passenden lesenden Anfrage und prüfe danach nur die benötigten Schreibaktionen in einer kontrollierten Umgebung. Eine erfolgreiche Anmeldung bestätigt noch nicht, dass jeder gewünschte Endpunkt erlaubt ist. Umgekehrt sollte ein fehlendes Recht nicht automatisch zu einer vollständigen Freigabe führen.
- Stimmen Zielinstanz und verwendeter API-Endpunkt?
- Ist der Token gültig und nicht gesperrt?
- Passt der Zugriffsbereich zur Ressource?
- Ist die konkrete Aktion erlaubt?
- Wer bearbeitet einen fehlgeschlagenen Zugriff?
Testdaten und Testaktionen müssen abgestimmt sein. Vermeide reale Aufträge, Nachrichten oder Löschvorgänge, wenn du lediglich die technische Verbindung prüfen möchtest.
Rechteänderungen als Austausch planen
Xentral beschreibt, dass bei einem bestehenden PAT nur die Laufzeit bearbeitet werden kann. Für geänderte Rechte wird ein neuer Token benötigt. Plane deshalb einen kontrollierten Austausch: neuen Zugang vorbereiten, in der Anwendung hinterlegen, benötigte Funktionen prüfen und den alten Zugang nach erfolgreichem Wechsel deaktivieren beziehungsweise entfernen.
Beachte dabei geplante Aufgaben, seltene Hintergrundläufe und zusätzliche Instanzen der Anwendung. Ein direkt erfolgreicher Test deckt nicht automatisch jeden nächtlichen Prozess ab. Dokumentiere den Wechselzeitpunkt und den geprüften Funktionsumfang.
Betrieb und Verantwortlichkeit festhalten
Führe eine Übersicht mit Zweck, Verantwortlichem, Anwendung, Rechten und Ablaufdatum, aber ohne den Token selbst. Plane die Erneuerung vor dem Ablauf und prüfe regelmäßig nicht mehr benötigte Zugänge. So wird ein Personalwechsel nicht zum Ausfall einer wichtigen Schnittstelle.
Für die Gesamtplanung einer Integration ergänzt der Xentral-API-Leitfaden Themen wie Datenfluss und Umsetzung. Bei einer Anfrage zur Entwicklung helfen konkrete Ressourcen und Aktionen mehr als die pauschale Anforderung „voller API-Zugriff“.
Ein Berechtigungsblatt vor dem Anlegen ausfüllen
Erstelle für jede Anwendung eine kurze Liste ihrer benötigten Aktionen. Ein illustratives Reporting benötigt vielleicht lesenden Zugriff auf ausgewählte Auftragsdaten. Eine Lageranbindung benötigt möglicherweise zusätzlich bestimmte Schreibaktionen. Das sind unterschiedliche Zwecke, für die du Rechte getrennt prüfen solltest. Die tatsächlichen Ressourcen und Berechtigungsnamen ergeben sich aus den eingesetzten Endpunkten.
- Anwendung und Umgebung: Welcher Dienst verwendet den Zugang, und auf welche Instanz greift er zu?
- Ressource: Welche konkrete Datenart wird benötigt?
- Aktion: Lesen, Erstellen, Aktualisieren oder eine gesonderte Aktion?
- Fachlicher Grund: Welcher Arbeitsschritt benötigt diese Berechtigung?
- Nachweis: Welcher kontrollierte Test bestätigt den benötigten Zugriff?
Die PAT-Anleitung im Xentral-Hilfecenter unterscheidet die grundlegenden Rechte zum Erstellen, Lesen, Ändern und Löschen von weiteren Aktionen unter „Others“, beispielsweise einer Auftragsfreigabe. Ein allgemeines Schreibrecht ist daher kein ausreichender Nachweis für jede gewünschte Prozessaktion.
Einrichtung mit einem überprüfbaren Ergebnis
- Öffne „Kontoeinstellungen > Developer Einstellungen > Personal Access Token“ mit den dafür erforderlichen Rechten.
- Starte „Token erzeugen“ und benenne Zweck und Umgebung eindeutig. Eine Bezeichnung wie „Reporting-Lesend-Produktiv“ ist ein illustratives Namensschema.
- Wähle das Ablaufdatum bewusst und ordne den Termin einer verantwortlichen Person zu.
- Übertrage nur die anhand des Berechtigungsblatts erforderlichen Rechte.
- Speichere den einmal angezeigten Wert unmittelbar in der vorgesehenen geschützten Konfiguration.
- Prüfe den vereinbarten Zugriff an einem freigegebenen Testfall und dokumentiere nur Ergebnis und Metadaten, nicht den geheimen Wert.
Ein erfolgreicher Test sollte den fachlich benötigten Datensatz liefern, nicht lediglich irgendeine gültige Antwort. Prüfe auch, ob du die beabsichtigte Instanz und Umgebung angesprochen hast. Verwende für Beispiele, Bildschirmaufnahmen und Support-Rückfragen geschwärzte Zugangsdaten.
Wenn ein Zugriff scheitert: zuerst die Ursache eingrenzen
Trenne Zugang, Berechtigung und fachliche Datenprüfung. Ein ungültiger oder abgelaufener Token ist eine andere Ursache als eine nicht erlaubte Aktion. Eine inhaltlich zurückgewiesene Anfrage kann wiederum trotz gültigem Zugang und ausreichenden Rechten entstehen. Die konkrete Antwort des Endpunkts und seine Dokumentation entscheiden darüber, welchen Zweig du prüfst.
Notiere für eine Rückfrage den Zeitpunkt, den Endpunkt, die Aktion und die bereinigte Fehlermeldung. Entferne den Authorization-Header und andere geheime Werte aus Protokollen. Ein pauschaler Wechsel auf Vollzugriff kann das Symptom verdecken, ohne die benötigten Rechte nachvollziehbar zu machen. Ergänze eine fehlende Berechtigung erst, wenn die dazugehörige Aktion fachlich begründet ist.
Tokenwechsel ohne vergessene Hintergrundprozesse
Da Xentral bei bestehenden PATs nur die Laufzeit als bearbeitbar beschreibt, planst du geänderte Rechte als neuen Token. Erstelle zuerst eine Liste aller verwendenden Prozesse: Hauptanwendung, zeitgesteuerte Jobs und gegebenenfalls getrennte Ausführungsumgebungen. Ein erfolgreicher Wechsel im Webdienst sagt nichts über einen nächtlichen Hintergrundlauf aus.
Unsere Empfehlung: den neuen Zugang bereitstellen, alle vorgesehenen Verbraucher umstellen, einen vollständigen vereinbarten Funktionszyklus prüfen und danach den alten Zugang entziehen. Der genaue Übergang muss zu eurem Betrieb passen. Halte Abschluss und Zuständigkeit fest, damit der alte Token nicht dauerhaft nebenher aktiv bleibt. Für die gesamte Integration ergänzt der API-Leitfaden die Anforderungen an Wiederholungssicherheit, Aufrufvolumen und Abnahme.
Quellen und fachlicher Stand
Herstellerdokumentation geprüft am 17. September 2026. Die Empfehlungen zur Projektorganisation sind redaktionelle Empfehlungen von CommerceOS.
Häufige Fragen
Wo finde ich die offizielle Xentral-API-Dokumentation?
Unter developer.xentral.com. Der direkte Link steht im Einleitungsteil dieses Artikels.
Kann ich die Rechte eines Tokens nachträglich ändern?
Laut Xentral ist nur die Laufzeit bearbeitbar. Für andere Rechte musst du einen neuen Token erstellen.
Wie lange ist ein PAT gültig?
Du legst ein Ablaufdatum fest. Die Dokumentation nennt 180 Tage als Standardwert; maßgeblich ist die konkrete Einstellung.
Warum funktioniert Lesen, aber Schreiben nicht?
Die Aktionen haben getrennte Berechtigungen. Prüfe den benötigten Zugriffsbereich und das Recht für die konkrete Aktion.
Was gehört in die Betriebsdokumentation?
Zweck, Verantwortlicher, Anwendung, Berechtigungen und Ablaufdatum. Der geheime Token selbst gehört in eine sichere Zugangsdatenablage.
Kostenloses ERP-Audit
60 Minuten, ehrliche Einschätzung zu deinen Prozessen und deinem Xentral-Setup – ohne Verpflichtung.
- Spezialisten für E-Commerce & Handel
- Alles aus einer Hand
- Implementierung, Support & Individualentwicklung
60 Minuten · kostenlos · unverbindlich
Unsere Kunden
