---
title: "Authentifizierung"
description: "API-Schlüssel, OAuth-Verbindungen, Bereiche und die passenden Zugangsdaten."
canonical: "https://atelier201.com/docs/de/api/authentication"
updated: "2026-11-06"
---

# Authentifizierung

Es gibt zwei Arten von Zugangsdaten, und der Unterschied ist nicht nur kosmetisch.

## API-Schlüssel

Zugangsdaten für einen **Workspace-Dienst**. Wer sie besitzt, handelt als Arbeitsbereich. Nur ein Admin kann sie erstellen und ihre Bereiche festlegen.

```bash
curl https://api.atelier201.com/v1/sites \
  -H "Authorization: Bearer atelier201_live_..."
```

Das Geheimnis wird beim Erstellen einmalig angezeigt. Atelier201 speichert nur einen Hash und kann es daher nicht erneut anzeigen. Wenn es verloren geht, widerrufen Sie es und erstellen Sie neue Zugangsdaten.

## OAuth-Verbindungen

Die **Delegierung einer Person an einen Client**, etwa einen MCP-Client oder `atelier201 auth login`. Die Verbindung übermittelt die Identität der Person und unterliegt daher auch der Zugriffsobergrenze für Mitglieder des Arbeitsbereichs: Ein Admin legt fest, wie viele der eigenen Zugriffsrechte ein Mitglied an einen Bot delegieren darf.

Atelier201 implementiert OAuth 2.1 mit PKCE, dynamischer Clientregistrierung
([RFC 7591](https://www.rfc-editor.org/rfc/rfc7591)) und dem Device Flow. Alle unterstützten Clients sind öffentlich, daher gibt es keine Clientgeheimnisse: PKCE macht sie überflüssig.

> **Warning: Die Obergrenze ist keine Berechtigungsgrenze**
>
> Die Obergrenze für Mitglieder beschränkt, was ein Mitglied an einen Client delegieren darf. Sie schränkt nicht ein, was die Person in der Weboberfläche tun kann: Das Produkt kennt zwei Rollen, Admin und Mitglied.

## Bereiche

Erteilen Sie nur die für die Aufgabe erforderlichen Bereiche.

| Bereich          | Ermöglicht                                                                                                                                             |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `account:read`   | Arbeitsbereich, Tarif und Credit-Guthaben anzeigen.                                                                                                    |
| `usage:read`     | Credit-Verbrauch im Zeitverlauf anzeigen.                                                                                                              |
| `sites:read`     | Websites anzeigen: Dateien, Inhalte, Builds, Vorschauen, Verlauf und Domains.                                                                          |
| `sites:write`    | Websites erstellen, Dateien und Inhalte bearbeiten, Medien hochladen, Builds erstellen und Vorschauen teilen. Nichts wird veröffentlicht.              |
| `sites:publish`  | Eine Website veröffentlichen, zurücksetzen oder offline nehmen sowie eine Website löschen. Dadurch ändert sich, was Besucher sehen.                    |
| `domains:write`  | Eigene Domains verbinden, überprüfen und entfernen sowie die Hauptadresse einer Website festlegen.                                                     |
| `media:generate` | Bilder und Videos mit KI erstellen. Die Kosten werden dem Credit-Guthaben des Arbeitsbereichs belastet; der Preis wird vor jeder Erstellung angezeigt. |

`sites:write` kann nicht veröffentlichen und keine Credits ausgeben. Dafür ist nur `media:generate` berechtigt. Ein Agent mit diesem Bereich kann eine vollständige Website vorbereiten, und der Eigentümer entscheidet, wann sie online geht. Ein Bereich ist die erste, aber nicht die einzige Prüfung: Zum Veröffentlichen, Zurücksetzen, Offline-Nehmen oder Löschen einer Website sowie zum Ändern von Domains ist außerdem ein Admin des Arbeitsbereichs erforderlich.

Für eine Gast-Website wird keine dieser beiden Arten von Zugangsdaten verwendet: Ihr kurzlebiges Schreib-Token öffnet nur diese eine Website. Siehe [Gast-Websites](/docs/platform/guest-sites).