OAuth2 für Apps von Drittanbietern

Nur für Apps, die andere WASync-Kunden installieren. Authorization Code mit PKCE, rotierende Refresh-Tokens und eine strukturelle Grenze.

Überspringen Sie dies, wenn Sie Ihr eigenes Konto automatisieren

Ein API key erledigt alles in dieser Dokumentation – ohne den zusätzlichen Aufwand. OAuth ist für genau eine Aufgabe das richtige Werkzeug: Ihre App wird von anderen WASync-Kunden installiert, und diese Kunden müssen Verbindungen zustimmen, die ihnen gehören.

App registrieren

Registrieren Sie sich unter https://developers.wasync.app/apps. Sie erhalten eine client_id und ein client_secret (wird nur einmal angezeigt). Außerdem legen Sie eine oder mehrere redirect_uri fest (beim Token-Austausch wird exakt abgeglichen), optional eine webhook_url und die benötigten Scopes.

Der Ablauf

Authorization Code mit PKCE – S256 ist erforderlich. Leiten Sie den Benutzer mit response_type=code, Ihrer client_id, redirect_uri, scope, einem state und einer code_challenge an /oauth/authorize weiter.

Endpoint	URL
Authorize	`https://cloudapi.wasync.app/oauth/authorize`
Token (`client_secret_post`)	`https://cloudapi.wasync.app/oauth/token`
Discovery	`https://cloudapi.wasync.app/.well-known/oauth-authorization-server`

Diese URLs – und die MCP-Server-URL – lauten bewusst auf cloudapi.wasync.app. Es sind Protokollbezeichner, die Ihre Client-Bibliothek und unsere Discovery-Dokumente bereits registriert haben, daher müssen sie Byte für Byte übereinstimmen. Nur die REST-Basis-URL und die für Menschen bestimmten Seiten verwenden die kanonische Domain developers.wasync.app.

Bitrix24. WASync zeigt einen kurzen Benutzercode an. Eine Person mit Schreibzugriff auf den Bereich API & Agents des Portals gibt ihn unter Settings → API & Agents ein und wählt Verbindungen und Scopes aus. Jeder Bitrix24-Administrator hat diesen Zugriff; ebenso jede Person, der ein Administrator ihn in der Zugriffsmatrix auf der Seite „Staff“ erteilt hat.

Standalone. Der Entwickler genehmigt unter https://developers.wasync.app/authorize – automatisch genehmigt, wenn er genau einen Workspace mit mindestens einer Verbindung besitzt.

Code eintauschen

Token exchange

curl -X POST https://cloudapi.wasync.app/oauth/token \
  -d grant_type=authorization_code \
  -d code=$AUTH_CODE \
  -d redirect_uri=https://your.app/callback \
  -d client_id=$CLIENT_ID \
  -d client_secret=$CLIENT_SECRET \
  -d code_verifier=$CODE_VERIFIER

Der access_token ist 15 Minuten gültig. Der refresh_token ist 30 Tage gültig und rotiert bei jeder Verwendung – speichern Sie den neuen Token atomar und serialisieren Sie Aktualisierungen über alle Worker hinweg, sonst machen zwei konkurrierende Worker gegenseitig ihren Token ungültig.

Der Access Token kommt in denselben Header wie ein API key: Authorization: Bearer …. Beide Credential-Typen erreichen jeden Endpoint.

Eine strukturelle Grenze

Eine Berechtigung wird nur für Verbindungen erteilt, die bereits existieren. Eine reine OAuth-Integration kann daher nicht die erste Verbindung eines Workspace anlegen. Ein API key kann das – deshalb beginnt die Schnellstart-Anleitung mit einem solchen.

Webhooks für OAuth-Apps

Eine OAuth-App legt webhook_url in der App selbst fest, statt PUT /webhook aufzurufen. Die Berechtigung muss mit whatsapp.events genehmigt worden sein, sonst wird nichts zugestellt. Alles Weitere – das Signaturverfahren, die Wiederholungsrichtlinie, die Payloads – ist identisch mit der Webhooks-Anleitung.

Vor dem 24. Juli 2026 erstellte Abonnements erhalten nur message.received; vor dem 10. August 2026 erstellte erhalten die Verbindungsereignisse nicht. Autorisieren Sie erneut, um die neueren Ereignistypen zu erhalten, oder schreiben Sie an den Support und bitten Sie darum, sie Ihrem bestehenden Abonnement hinzuzufügen.

War diese Seite hilfreich?