OAuth
OAuth (Open Authorization) ist ein offener Standard für delegierte Autorisierung, der es Drittanwendungen erlaubt, auf Nutzerdaten in einem anderen Dienst zuzugreifen, ohne dass die Nutzer ihr Passwort weitergeben müssen.
Verstehen OAuth
OAuth löst ein zentrales Problem bei Integrationen: Wie erhält App A Zugriff auf Ihre Daten in App B, ohne dass Sie App A Ihr App-B-Passwort geben? Das Teilen von Passwörtern ist gefährlich – wird App A kompromittiert, sind auch Ihre App-B-Zugangsdaten betroffen. OAuth bietet hier mit Autorisierungstoken eine sichere Alternative. Der OAuth-Flow funktioniert wie folgt: Sie klicken in GAIA auf „Mit Gmail verbinden“, werden zur Google-Autorisierungsseite weitergeleitet, genehmigen die von GAIA angeforderten Berechtigungen (E-Mails lesen, E-Mails senden, Kalender verwalten), Google stellt daraufhin ein Zugriffstoken für GAIA aus, und GAIA nutzt dieses Token, um in Ihrem Auftrag API-Aufrufe durchzuführen. Ihr Google-Passwort muss GAIA dabei nie mitgeteilt werden. OAuth 2.0 (der aktuelle Standard) unterstützt verschiedene Abläufe für unterschiedliche Kontexte: Authorization Code (für Webanwendungen, am sichersten), Client Credentials (für Server-zu-Server-Integrationen) und Device Code (für Geräte ohne Browser). Die meisten benutzerorientierten Integrationen verwenden den Authorization Code Flow. Scopes sind eine zentrale Sicherheitsfunktion von OAuth. Statt eines Alles-oder-nichts-Zugriffs definieren Scopes sehr feine Berechtigungen – GAIA könnte zum Beispiel nur „E-Mails lesen“, aber nicht „E-Mails löschen“ anfordern. Die Nutzer sehen genau, welche Rechte sie gewähren, und können diese jederzeit widerrufen.
Wie GAIA verwendet OAuth
GAIA verwendet OAuth 2.0 für alle Integrationen von Drittanbietern, einschließlich Gmail, Google Kalender, Slack, Notion, Linear und mehr als 50 weiteren Diensten. Sie autorisieren GAIA mit spezifischen Zugriffsberechtigungen für jeden Dienst; GAIA speichert niemals Ihre Passwörter. Alle OAuth-Tokens werden im Ruhezustand verschlüsselt und können jederzeit in den Einstellungen für verbundene Konten widerrufen werden.
Verwandte Konzepte
API-Integration
API-Integration ist der Prozess, verschiedene Softwareanwendungen über deren Programmierschnittstellen (APIs) miteinander zu verbinden, um einen nahtlosen Austausch von Daten und Funktionen zu ermöglichen.
Self-Hosting
Self-Hosting ist die Praxis, Software auf den eigenen Servern oder der eigenen Infrastruktur und nicht als cloudbasierte Lösung zu betreiben. Dies verschafft vollständige Kontrolle über die eigenen Daten, die Konfiguration und die Verfügbarkeit.
Datenhoheit
Datenhoheit ist das Prinzip, dass Daten den Gesetzen und der Verwaltung des Landes unterliegen, in dem sie gespeichert sind, und dass Einzelpersonen und Organisationen das Recht haben zu bestimmen, wo ihre Daten liegen und wer darauf zugreifen darf.
REST-API
Eine REST (Representational State Transfer) API ist eine Webservice-Schnittstelle, die Standard-HTTP-Methoden (GET, POST, PUT, DELETE, PATCH) verwendet, um auf Ressourcen zuzugreifen und diese zu bearbeiten. Sie folgt einer Reihe von Architekturkonventionen, die APIs vorhersagbar und interoperabel machen.
Webhook
Ein Webhook ist ein HTTP-Callback-Mechanismus, bei dem ein System eine automatisierte HTTP-Anfrage an eine festgelegte URL sendet, sobald ein definiertes Ereignis eintritt. So wird die Integration und Benachrichtigung zwischen Diensten in Echtzeit ermöglicht – ganz ohne Abfragen.
