GoProject

Integrationen

REST-API, Token und Audit-Export

Die versionierte API, Dienstkonten, persönliche Token, Webhooks und der Datenstrom für Ihr SIEM.

API

Die API ist unter /api/v1 versioniert und ist dieselbe API, die auch die Bildschirme des Produkts nutzen. Fehler haben eine gemeinsame Form und werden in der Sprache der aufrufenden Seite zurückgegeben (Englisch, Lettisch oder Deutsch). Die API ist als OpenAPI beschrieben, erzeugt aus dem Code selbst. Die API-Seite des Produkts führt die Aufrufe auf und bietet die Beschreibung als OpenAPI (JSON) an; der Link Was die API bietet bei Ihren API-Token öffnet sie. Dieselbe Beschreibung antwortet unter /api/v1/openapi jedem, der angemeldet ist oder ein Token vorweist. Aufrufe der REST-API sind nicht je Token ratenbegrenzt.

Dienstkonten

Für ein anderes System, das mit GoProject sprechen muss, ohne das Passwort einer Person. Verwaltung, Dienstkonten, Neues Konto: ein Name und wofür es da ist. Das Konto hat kein Passwort und kann den Anmeldebildschirm nicht nutzen. Nehmen Sie es wie eine Person in Projektrollen auf; das entscheidet, was es darf.

Danach Schlüssel ausgeben:

  • Wird einmal gezeigt; gespeichert wird nur ein Hash. Verloren heißt: einen neuen ausgeben und den alten zurücknehmen
  • Optionen: Nur diese Projekte und Darf nur lesen schränken nur ein, was das Konto darf; Darf den Audit-Export lesen öffnet den unten beschriebenen Audit-Export und sonst nichts der Verwaltung; Öffnet den MCP-Server lässt einen KI-Agenten den Schlüssel nutzen
  • Ein Ablaufdatum ist Pflicht. Die Obergrenze für alle Schlüssel beträgt standardmäßig 365 Tage; sie zu senken verkürzt Schlüssel, die schon darüber hinausreichen
  • Jeder Schlüssel zeigt sein Ablaufdatum, die Zahl der Verwendungen und die letzte Verwendung. Das Audit-Protokoll hält fest, welcher Schlüssel was getan hat, und das System warnt, wenn einem aktiven Schlüssel weniger als 14 Tage bleiben

Persönliche API-Token

Profil, Sicherheit, API-Token, Neues Token. Ein Token handelt als seine Besitzerin oder sein Besitzer, abzüglich dessen, was sein Geltungsbereich wegnimmt (nur lesen, einige Projekte), mit einem Ablaufdatum bis zur Grenze des Administrators. Höchstens zehn aktive Token je Person, nicht für externe Konten, und die Besitzerin oder der Besitzer wird per E-Mail informiert, wenn eines angelegt wird. Administratoren sehen jedes persönliche Token, können es widerrufen und persönliche Token unter Verwaltung, Dienstkonten ganz abschalten.

Ein Token verwenden

curl -H "Authorization: Bearer gop_..." https://goproject.example.com/api/v1/spaces

Eine Anfrage mit Token erzeugt keine Sitzung und braucht kein CSRF-Token. Ein falscher, widerrufener, abgelaufener oder abgeschalteter Schlüssel antwortet mit 401 ohne weitere Angaben. Token öffnen nie /api/v1/admin/, ganz gleich, was das Konto darf; die einzige Ausnahme ist der Audit-Export für den Schlüssel eines Dienstkontos, der mit Darf den Audit-Export lesen ausgegeben wurde.

Webhooks

Einen Bildschirm für Webhook-Abonnements gibt es nicht. Ausgehende Aufrufe machen Automatisierungsregeln, mit der Aktion "Web-Anfrage senden" oder mit einer Nachricht an Slack oder Teams; eingehende Aufrufe wecken Automatisierungsregeln über ihre geheimen Adressen für eingehende Webhooks, Git-Server rufen die Entwicklungs-Webhooks auf, und wo Microsoft Teams direkt angebunden ist, ruft Teams den Bot des Produkts auf. Siehe "Automatisierung und ihre Schutzgrenzen" und "Git-Integrationen".

Audit-Export für Ihr SIEM

GET /api/v1/admin/audit/export?afterId=0&limit=1000

Liefert zeilenweise getrenntes JSON (application/x-ndjson), das Älteste zuerst, bis zu 10.000 Einträge je Aufruf. Der Antwort-Header X-Last-Id ist der Cursor: geben Sie ihn beim nächsten Aufruf als afterId mit. Aufgerufen wird der Export mit dem Schlüssel eines Dienstkontos, der mit Darf den Audit-Export lesen ausgegeben wurde, oder aus der angemeldeten Sitzung eines Systemadministrators (Verwaltung, Audit-Protokoll, Exportieren (JSONL)). Derselbe Bildschirm kann außerdem jedes Ereignis weiterleiten, sobald es geschrieben ist: an einen Syslog-Server oder in eine Tagesdatei mit JSON-Zeilen. Das Protokoll ist nur anfügbar: Einträge werden nie geändert oder entfernt.