OSTRELLE · DOKUMENTATION

Verwaltungs-API: Sitzung, Rechte und Versionen

Tatsächliche Ostrelle-API-Pfade, Cookie-Sitzung, Origin- und CSRF-Prüfung sowie If-Match. Kein erfundener öffentlicher API-Key- oder MCP-Zugang.

Cookie-authentifizierte Verwaltungs-API vorhanden · Stand: 15. Oktober 2026.

Die vorhandene API ist die geschützte Verwaltungs-API derselben Instanz. Diese Seite verspricht keinen öffentlichen API-Key, OAuth-Flow, anonymen Schreibzugriff oder automatisch freigegebenen Cross-Origin-Zugang.

Authentifizierung ist mehr als ein Passwort

GET /api/v1/auth/csrf stellt die Anmelde-Challenge bereit. POST /api/v1/auth/login prüft Zugang und zweiten Faktor; die Sitzung wird über ein geschütztes Host-Cookie geführt. Nach dem Login liefern GET /api/v1/me und GET /api/v1/sites Identität beziehungsweise freigegebene Sites.

Schreibanforderungen benötigen den exakt passenden Origin und x-csrf-token zur aktuellen Sitzung. Eine alte Login-Challenge ist kein dauerhaft verwendbarer Sitzungstoken. Jede Site-Anfrage prüft Mitgliedschaft und Fähigkeiten serverseitig. Cookie-, CSRF- und TOTP-Werte gehören weder in Dokumentation noch Diagnoseausgaben.

Lesewege am tatsächlichen Router

Die geschweiften Platzhalter werden durch gültige IDs aus der eigenen freigegebenen Instanz ersetzt. Eine unautorisierte Antwort ist kein Anlass, den Endpunkt auf einem anderen Host auszuprobieren. Listen dürfen paginiert sein; nicht pauschal unbegrenzte Gesamtausgaben erwarten.

GET /api/v1/me
GET /api/v1/sites
GET /api/v1/sites/{site}/capabilities
GET /api/v1/sites/{site}/content/types
GET /api/v1/sites/{site}/content/entries
GET /api/v1/sites/{site}/content/entries/{entry}
GET /api/v1/sites/{site}/media
GET /api/v1/sites/{site}/settings
GET /api/v1/sites/{site}/menus
GET /api/v1/sites/{site}/redirects
GET /api/v1/sites/{site}/domains

Schreiben nur auf bekannter Basis

Inhalte werden unter /content/entries erzeugt und am einzelnen Eintrag per PATCH geändert. Freigabe und Rücknahme liegen unter /publish und /unpublish; Autoentwürfe, Sperren und Revisionen haben eigene Pfade.

Versionsgeschützte Inhaltsänderungen verlangen If-Match mit der zuvor gelesenen lock_version. Bei fehlender Version wird 428 geliefert; falsche oder inzwischen überholte Grundlagen müssen behandelt werden, nicht blind wiederholt.

Website-Einstellungen werden per PATCH /settings geändert; Menüs per PUT /menus/{key}. Diese Verwaltungsobjekte haben eigene Versionsverträge. Verwende nicht unbesehen die Inhaltsversion für jedes Objekt. POST /api/v1/auth/logout beendet die Sitzung mit den geltenden Herkunfts-/CSRF-Prüfungen.

Alle Anleitungen · Aktueller Entwicklungsstand