Mit OAuth verbindet sich eine Anwendung nach Anmeldung und Zustimmung mit Kontoflux.io. Du legst fest, welche Berechtigungen und Bankkonten sie dabei erhalten kann. Die Registrierung einer App allein gibt noch keinen Zugriff auf Bankdaten.
OAuth2 Server hinzufügen
- Öffne Automationen → Integrationen.
- Füge OAuth2 Server hinzu und gib der Integration einen Namen.
- Öffne OAuth2-Einstellungen und prüfe OAuth-Autorisierungsserver aktivieren.
- Wähle Erlaubte Scopes und speichere mit OAuth-Einstellungen speichern.
- Lege unter Bankkonten → Erlaubte Bankkonten den Kontoumfang fest und speichere ihn.
- Prüfe, ob die Integration Aktiv ist.
Unter Übersicht findest du die kopierbaren Adressen AS metadata, authorize und token. Die Metadaten beschreiben dem Client die verfügbaren Anmelde-Endpunkte.
Ein MCP-Server hat dieselben OAuth-Einstellungen innerhalb seiner Integration. Für einen MCP-Client brauchst du deshalb keinen zusätzlichen OAuth2 Server.
OAuth-App manuell erstellen
- Öffne Registrierte Apps → Neue OAuth-App innerhalb der Integration.
- Trage einen App-Namen ein.
- Hinterlege die Redirect-URIs, jeweils eine vollständige Adresse pro Zeile. Dorthin darf die Anwendung nach der Zustimmung zurückleiten.
- Wähle die Angeforderten Scopes.
- Wähle den Client-Typ.
- Ergänze bei Bedarf eine Beschreibung und klicke auf App erstellen.
- Kopiere
client_idund gegebenenfallsclient_secret, bevor du mit Fertig schließt.
| Client-Typ | Verwendung |
|---|---|
| Serverseitiger Client | Die Anwendung kann ein Secret auf einem Server schützen. Sie verwendet client_secret_post und PKCE. |
| Client ohne Secret | Die Anwendung kann kein Secret sicher aufbewahren, etwa eine lokale Desktop-App. Sie verwendet PKCE ohne client_secret. |
PKCE ergänzt den Anmeldeablauf um einen Nachweis, dass der Client den Vorgang selbst gestartet hat. Beide Client-Typen verwenden diesen Schutz. Client ohne Secret bedeutet nicht, dass Bankdaten öffentlich zugänglich sind.
Ein client_secret wird nur einmal angezeigt. Hinterlege es direkt in der vorgesehenen Anwendung.
Berechtigungen wählen
| Scope | Bedeutung |
|---|---|
accounts:read | Konten und Kontostände lesen |
transactions:read | Transaktionen abrufen, suchen und abgleichen |
categories:read | Kategorien lesen |
mcp:tools | MCP-Werkzeuge verwenden; gilt für MCP-Integrationen |
Die Scopes der Integration bilden die Obergrenze. Die App kann nur innerhalb dieser Freigabe Berechtigungen anfordern; im Zustimmungsdialog können Nutzer die Auswahl weiter begrenzen.
Die Standardfreigabe umfasst Leseberechtigungen. Der ebenfalls auswählbare Scope transactions:write ist für künftige Schreibfunktionen reserviert. Er stellt aktuell keine eigene Schreibfunktion bereit.
Selbstregistrierung von Clients
Mit Dynamic Client Registration erlauben können kompatible Clients ihre OAuth-App selbst registrieren. Unter Maximale Anzahl dynamischer Apps begrenzt du die Zahl aktiver, auf diesem Weg registrierter Apps.
Unter Alle Domains und IPs zulassen bestimmst du, ob die Weiterleitungsadressen auf eine Liste begrenzt werden. Wenn du die Einschränkung einschaltest, trage unter Erlaubte Redirect-Domains die benötigten Hostnamen ein, einen pro Zeile und ohne https:// oder Pfad. Eine leere Liste ist in diesem Modus nicht gültig.
Für eine manuell erstellte App müssen die später verwendeten Redirect-URIs exakt zu den eingetragenen Adressen passen. Eine erlaubte Domain ersetzt diese genaue Prüfung nicht.
Konten und bestehende Apps verwalten
Erlaubte Bankkonten begrenzt die gesamte Integration. Mit Endnutzer wählen Bankkonten beim Verbinden lässt du Nutzer beim Autorisieren eine kleinere Auswahl freigeben.
Unter Registrierte Apps siehst du Client-ID, Scopes, erlaubte Bankkonten, Redirect-URIs und die erste Nutzung. Selbstregistrierte Apps tragen die Markierung DCR. Mit Widerrufen entziehst du einer App den Zugriff; bestätige dafür den angezeigten Dialog.
Wie sich die Zustimmung für Nutzer anfühlt, beschreibt Apps verbinden und Zugriff entziehen. Technische Parameter des OAuth-Ablaufs stehen in der API-Referenz.