Säkerhet
OAuth, ett företag per koppling, scope, återkallning och gränser.
OAuth
Klirr använder OAuth 2.0. Du delar aldrig lösenord eller API-nycklar med assistenten.
- Klienten registrerar sig själv (RFC 7591). Registreringen är begränsad per IP.
- Publika klienter får ingen hemlighet och måste använda PKCE (S256).
- Samtyckessidan varnar för självregistrerade klienter: namnet är klientens eget påstående. Sidan visar vart du skickas efter godkännandet. Godkänn bara klienter du själv lagt till.
- Bara ägare eller admin kan godkänna en koppling.
Ett företag per koppling
När du godkänner väljer du ett företag. Token är knuten till det, och klienten kan inte byta. Har du flera företag lägger du till en koppling per företag.
Scope
Självregistrerade klienter får bara scope mcp, aldrig scopes för det Fortnox-kompatibla API:et. Scope mcp ger exakt de 23 verktygen: läsa, skapa kunder och fakturautkast, samt föreslå. Inget bokförs utan godkännande.
Personnummer på fakturor och anställdas personnummer, lön och kontaktuppgifter skickas aldrig.
Återkalla
Gå till InställningarAnslutna appar och ta bort kopplingen. Nästa anrop från klienten får 401, och kopplingens väntande förslag återkallas.
Gränser
| Gräns | Värde |
|---|---|
| Anrop | 25 per 5 sekunder per klient och företag, delat med API:et. Över gränsen: 429 med Retry-After: 5. |
| Väntande förslag | 50 per företag |
| Förslagens livslängd | 7 dagar |
| Oanvänd klientregistrering | Raderas efter ett dygn |
Felkoder
| Status | Fel | Betyder |
|---|---|---|
| 401 | invalid_token | Token saknas, har gått ut eller är återkallad |
| 403 | insufficient_scope | Token saknar scope mcp |
| 429 | För många anrop | |
| 500 | server_error | Internt fel |