Eine OAuth-Anwendung stellt deiner Integration die Client-ID und – bei einer vertraulichen Anwendung – das Client-Secret bereit, die sie zur Authentifizierung bei unserer API benötigt. Wie du sie verwendest, erfährst du unter Authentifizierung.
Um OAuth-Anwendungen zu verwalten, benötigst du die Berechtigung Admin für das Konto. Weitere Informationen findest du unter Berechtigungen.
Wähle für serverseitige Anwendungen, die ein Client-Secret sicher speichern können, „Vertraulich“ aus. Wähle für Browser-, Mobil- oder native Anwendungen, die das nicht können, „Öffentlich“ aus – eine öffentliche Anwendung erhält kein Client-Secret, stattdessen schützt PKCE den Flow. Der Client-Typ kann nach dem Erstellen der Anwendung nicht mehr geändert werden.
Eine Redirect-URI muss https verwenden oder für die lokale Entwicklung http mit einer Loopback-Adresse (localhost, 127.0.0.1 oder ::1). Eine öffentliche Anwendung kann außerdem ein Private-Use-URI-Schema mit umgekehrter Domain verwenden, etwa com.example.app:/oauth/callback.
Rotiere das Client-Secret, wenn das aktuelle verloren gegangen ist oder offengelegt wurde. Nur vertrauliche Anwendungen haben eines.
Das bisherige Client-Secret funktioniert sofort nicht mehr, aktualisiere deine Anwendung also direkt nach dem Rotieren. Benutzer, die deine Anwendung bereits autorisiert haben, bleiben autorisiert.
Beim Löschen einer OAuth-Anwendung werden die Autorisierungen widerrufen, die Benutzer ihr erteilt haben. Bereits ausgestellte Zugriffstoken können bis zu ihrem Ablauf weiter funktionieren.