Schleuse – API-Gateway für freigegebene Aktionen

Einsatz

Was du damit machen kannst.

Überall dort, wo ein Low-Code-Werkzeug oder Skript eine API braucht, deren Schlüssel nicht beim Kunden liegen soll.

KI direkt aus Ninox

Ein Button formuliert Mahnungen, Antworten oder Zusammenfassungen. Der KI-Schlüssel steht nie im Ninox-Skript – Ninox kennt nur den Schleuse-Token.

POST /actions/claude-text

Make liest und schreibt Ninox

Make holt Datensätze oder legt neue an. Der Ninox-API-Schlüssel öffnet alle Datenbanken – er bleibt in Schleuse, Make bekommt nur die freigegebenen Aktionen.

GET /actions/ninox-datensatz?id=12

Shop-Daten im Backoffice

Bestellungen und Produkte aus dem Shop lesen, Bestellstatus aus Ninox heraus ändern. Feste GraphQL-Abfragen für Shopify.

PUT /actions/woo-status?id=815

CRM und Buchhaltung

Kontakte in HubSpot oder Pipedrive suchen und anlegen, offene Rechnungen aus Lexware Office oder sevDesk lesen.

POST /actions/hubspot-suchen

Einrichtung in der Oberfläche

Vier Schritte. Kein Terminal.

So sieht die Admin-Oberfläche aus. Alle Beispiele zeigen Testdaten.

Screenshot: Vorlage wählen in der Schleuse-Verwaltung — 01 · Vorlage wählen
Anbieter aussuchen, Kunde und IDs eintragen, Schlüssel einmal hinterlegen. Passende Aktionen sind vorbereitet.

Screenshot: Aktion testen in der Schleuse-Verwaltung — 02 · Aktion testen
Ein Klick ruft die echte Ziel-API auf. Die Vorschau zeigt sofort, welche Daten zurückkommen.

Screenshot: Token erstellen in der Schleuse-Verwaltung — 03 · Token erstellen
Aktionen eines Kunden auswählen. Standard: unbegrenzt bis zum Widerruf – kein Login alle 15 Minuten.

Screenshot: In Ninox einfügen in der Schleuse-Verwaltung — 04 · In Ninox einfügen
Fertiges Skript für Ninox, Einstellungen für Make oder ein curl-Befehl – kopieren, Werte eintragen, fertig.

Konnektor-Vorlagen

Häufige B2B-Systeme. Vorbereitet.

Zieladresse, Anmeldung und typische Aktionen sind eingetragen. Eigene APIs legst du genauso an. „Nach Anbieter-Doku“ heißt: nach offizieller Dokumentation erstellt, noch nicht mit einem echten Konto geprüft.

Zum Ausprobieren

WordPress.org (Testquelle)Öffentliche News-API von WordPress.org. Ideal für den ersten Test ohne eigenes Konto.getestet

Datenbank & Low-Code

NinoxDatensätze in Ninox Cloud oder Ninox On-Premise lesen, anlegen und ändern.getestet
AirtableDatensätze einer Airtable-Base lesen und anlegen.nach Anbieter-Doku
NotionNotion-Datenbanken abfragen und Einträge anlegen.nach Anbieter-Doku

Automatisierung

Make (Webhook)Daten aus Ninox oder einem Skript an ein Make-Szenario senden. Der Webhook bleibt mit einem API-Schlüssel geschützt.nach Anbieter-Doku
n8n (Webhook)Daten an einen n8n-Workflow senden. Geschützt per Header-Authentifizierung.nach Anbieter-Doku

CRM & Vertrieb

HubSpot CRMKontakte lesen, suchen und anlegen.nach Anbieter-Doku
PipedrivePersonen und Deals lesen, Personen suchen und anlegen (API v2).nach Anbieter-Doku

Buchhaltung & Rechnungen

Lexware Office (lexoffice)Kontakte, offene Rechnungen und Belege lesen.nach Anbieter-Doku
sevDeskKontakte und Rechnungen lesen.nach Anbieter-Doku

Shop & Website

WooCommerceBestellungen und Produkte lesen, Bestellstatus ändern.nach Anbieter-Doku
ShopifyBestellungen und Produkte über feste GraphQL-Abfragen lesen.nach Anbieter-Doku
WordPress (eigene Website)Beiträge der eigenen Website lesen und Entwürfe anlegen.nach Anbieter-Doku

Zahlungen

StripeKunden und Kontostand lesen, Kunden anlegen.nach Anbieter-Doku

Kommunikation

SlackNachrichten in einen festen Kanal senden.nach Anbieter-Doku

Entwicklung

GitHubRepository-Daten und Issues lesen, Issues anlegen.nach Anbieter-Doku

Claude (Anthropic)Texte mit Claude erzeugen, ohne dass der API-Schlüssel im Client steht.nach Anbieter-Doku
OpenAITexte mit einem OpenAI-Modell erzeugen, ohne dass der API-Schlüssel im Client steht.nach Anbieter-Doku

Was eine Aktion kann

Genau so viel wie nötig.

Platzhalter im Pfad

/orders/{id}

Der Client übergibt ?id=815. Nur URL-sichere Werte, kein Pfadwechsel.

Freigegebene Parameter

page, search

Für Seiten und Filter. Feste Werte wie ?status=publish kann der Client nicht ändern.

Body-Vorlagen

{"properties": {"email": "{{email}}"}}

Die Struktur bleibt in Schleuse, der Client liefert nur die Werte. Ideal für Ninox, GraphQL und KI.

Anmeldearten

Bearer · Basic · x-api-key

Schlüssel im Header, Benutzername und Passwort oder öffentliche APIs. Dazu feste Zusatz-Header.

Kurze Wege

200 · 400 · 401 · 403

Klare Fehlermeldungen mit Namen des fehlenden Werts. Die Diagnose zeigt Status, Quelle und Dauer.

Schutz eingebaut

AES-GCM · CSRF · Limits

Schlüssel verschlüsselt, keine Redirects, interne Netze gesperrt, 60 Aufrufe pro Minute und Token.

Interaktive Demo · Beispieldaten

Was kommt durch?

Wähle eine Aktion für denselben Token. Die Simulation zeigt, wie Schleuse bei einer erlaubten oder gesperrten Anfrage reagiert.

Aktion auswählen Kundenliste lesenFreigegebene GET-Aktion Bestellungen lesenGET-Aktion ohne Freigabe

Simulierte Antwort Bereit

GET /actions/kunden-liste

Noch keine Anfrage ausgeführt.

Der Test läuft mit Beispieldaten in diesem Browser.

Client
Schleuse
Anbieter-API

Das Prinzip

Eine Aktion. Eine Freigabe.

01 · Verbinden

Ziel hinterlegen

Die Verwaltung speichert den Anbieter-Schlüssel verschlüsselt und legt Ziel, Methode, Pfad und erlaubte Eingaben fest.

02 · Freigeben

Token ausstellen

Ein Token erhält genau die Aktionen eines Kunden – unbegrenzt oder befristet, jederzeit widerrufbar.

03 · Ausführen

Aufruf vermitteln

Schleuse prüft Token, Freigabe und Eingaben. Erst beim Weiterleiten setzt der Gateway den Anbieter-Schlüssel ein.

Fragen

Kurz erklärt.

Brauche ich einen Ninox-API-Schlüssel?

Nur wenn Make, n8n oder ein Skript auf Ninox zugreifen soll. Ruft Ninox selbst eine fremde API auf, kennt Ninox nur den Schleuse-Token; den Schlüssel der Ziel-API trägst du in Schleuse ein.

Wie lange gilt ein Token?

Standard ist unbegrenzt bis zum Widerruf. Du kannst auch eine Laufzeit in Tagen wählen; bei weniger als 30 Tagen fragt Schleuse nach, ob das gewollt ist. Ein Widerruf wirkt sofort.

Was sieht jemand, der das Ninox-Skript lesen kann?

Den Schleuse-Token – nicht den API-Schlüssel. Der Token erlaubt nur die freigegebenen Aktionen eines Kunden, mit festen Zielen und geprüften Eingaben.

Muss ich am Server etwas einstellen?

Nach der Installation mit Docker Compose nicht. Verbindungen, Aktionen, Tests und Tokens verwaltest du in der Admin-Oberfläche.

Was geht noch nicht?

Automatische OAuth-Erneuerung (Google, Microsoft 365), Datei-Uploads und -Downloads, Streaming sowie Antworten über 2 MiB oder 30 Sekunden.

Selbst hosten · Version 0.3

Auf deinem Server.

Starte den Gateway mit Docker Compose auf einem Linux-Server. Der Installer prüft zuerst die freien Ports. Danach läuft alles über die Admin-Oberfläche: Vorlagen, Tests, Tokens und Diagnose.

# Im entpackten Projektordner
./install-server.sh --plan --show-used
./install-server.sh --prepare
./install-server.sh --install