Berechtigungen

Vorschau

Verbundene Anwendungen sind derzeit nur für ausgewählte Konten freigeschaltet.

Eine Berechtigung besteht aus einem Bereich und einer Stufe: Lesen, Ändern oder Löschen. Die Anwendung fragt sie mit Namen an, etwa dns:write, und die Zustimmungsseite zeigt Bereich und Stufe mit der Beschreibung unten. Die Liste der abgelehnten Anfragen nennt sie genauso.

Die Berechtigungen

Berechtigung	Auf der Zustimmungsseite	Was sie erlaubt	Einstufung
account:read	Konto: Lesen	Liest dein Profil: Name, Anschrift und Kontoeinstellungen.	Liest nur
billing:read	Abrechnung: Lesen	Liest Rechnungen, Abos und offene Beträge.	Liest nur
domain:read	Domains: Lesen	Liest deine Domains, Laufzeiten und Nameserver.	Liest nur
dns:read	DNS: Lesen	Liest deine DNS-Zonen und alle Einträge darin.	Liest nur
dns:write	DNS: Ändern	Legt DNS-Einträge an, ändert und löscht sie. Damit steuert die Anwendung, wohin deine Domains und deine E-Mail zeigen. Das umfasst die Einträge, die festlegen, welche Server deine E-Mail empfangen (MX) und welche in deinem Namen E-Mails senden dürfen (SPF, DKIM, DMARC), und die, über die sich Zertifikate für deine Domains ausstellen lassen (CAA und _acme-challenge).	Ändert Daten
mail:read	E-Mail: Lesen	Liest deine Postfächer und ihre Einstellungen, zum Beispiel info@deine-domain.de.	Liest nur
mail:write	E-Mail: Ändern	Legt Postfächer, Aliasse, Weiterleitungen, Abwesenheitsnotizen und das Catch-All an und ändert sie, zum Beispiel kontakt@deine-domain.de, und kann Adressen abschalten. Eine Weiterleitung darf auch aus deinen Domains hinausführen, an dich gerichtete E-Mails können also an jede beliebige Adresse gehen.	Ändert Daten
mail:delete	E-Mail: Löschen	Löscht Postfächer samt aller E-Mails, die darin liegen, sowie Aliasse und Weiterleitungen, und schaltet das Catch-All ab.	Kritisch
handle:read	Domain-Kontakte: Lesen	Liest deine Domain-Kontakte und ob sie bestätigt sind, mit Name, Anschrift, E-Mail-Adresse und Telefonnummer nur bei deinen eigenen Standardkontakten.	Liest nur
handle:write	Domain-Kontakte: Ändern	Legt Domain-Kontakte an und ändert sie; bei einem Kontakt, der Inhaber- oder Admin-Kontakt einer deiner Domains ist, nur Telefon- und Faxnummer. Schickt einem Kontakt einen Bestätigungscode per E-Mail oder SMS, zum Beispiel an inhaber@deine-domain.de, und bestätigt ihn mit dem Code, den du weitergibst.	Ändert Daten

Mehr als diese zehn gibt es nicht. Fragt eine Anwendung nach einer Berechtigung, die ITSH kennt, aber nicht vergibt, etwa nach dem Kaufen oder Löschen von Domains, wird dieser Teil ihrer Anfrage vor der Zustimmungsseite gestrichen, und eine Anfrage, von der nichts übrig bleibt, wird abgelehnt. Nennt eine Anfrage eine Berechtigung, die ITSH gar nicht kennt, wird sie ganz mit invalid_scope abgelehnt.

Ohne AVV keine Mail-Berechtigungen

Ist für dein Konto vermerkt, dass du keinen Auftragsverarbeitungsvertrag (AVV) brauchst, und hast du seine aktuelle Fassung nicht akzeptiert, vergibt ITSH mail:read, mail:write und mail:delete nicht. Die Zustimmungsseite nennt sie und sagt, warum.

• Eine neue Verbindung bekommt sie nicht, auch nicht später. Akzeptiere den AVV im Portal unter „AVV“ und verbinde die Anwendung danach neu, damit sie sie anfragen kann.
• Eine Verbindung, die sie schon hat, behält sie, kann sie aber nicht mehr nutzen, sobald ihr Zugriffstoken erneuert wird, spätestens nach einer Stunde. Hat sie nur Mail-Berechtigungen, bekommt sie gar kein neues Token, bis du den AVV akzeptierst. Danach nutzt sie sie ab der nächsten Erneuerung wieder, ohne neue Verbindung.

Löschen lässt sich nicht rückgängig machen

mail:delete ist aus gutem Grund als kritisch eingestuft: Gelöschtes holt niemand zurück, auch nicht, wenn du den Zugriff danach entziehst. Ein gelöschtes Postfach nimmt jede Nachricht darin mit.

Wie die Stufen zusammenhängen

• Ändern umfasst Lesen im selben Bereich. dns:write kann auch DNS lesen, und mail:write kann E-Mail-Einstellungen lesen.
• Sonst umfasst nichts etwas anderes. mail:delete umfasst weder mail:write noch mail:read, und keine Berechtigung reicht in einen anderen Bereich.
• Manche Tools brauchen mehrere Berechtigungen. Ein Tool erscheint nur, wenn die Verbindung alle davon hat, wie die nächste Tabelle zeigt.

Tools, die mehr als eine brauchen

Tool	Braucht
dns_record_list	domain:read, dns:read
dns_record_create, dns_record_update, dns_record_delete	domain:read, dns:write
mail_account_list, mail_catchall_get, mail_dns_status	mail:read, domain:read
mailbox_create, mail_forward_create, mail_catchall_set	mail:write, domain:read
mail_account_delete	mail:read, mail:delete
mail_catchall_disable	mail:delete, mail:write, domain:read
mail_dns_apply, mail_dns_replace	mail:write, dns:write, domain:read

mail:delete allein macht kein Tool verfügbar. Jedes andere Tool braucht genau eine Berechtigung. Die Seiten zu DNS, E-Mail und Kontakten nennen sie; diese vier lesen dein Konto und haben keine eigene Seite:

Tool	Was es tut	Braucht
account_get	Zeigt dein Konto: Nummer, Name, Art, E-Mail-Adresse und Land	account:read
domain_list	Listet deine Domains mit Status und Registrierungszeitraum, auch Domains, die woanders registriert sind und deren E-Mail ITSH betreibt	domain:read
domain_get	Zeigt eine deiner Domains	domain:read
subscription_list	Listet deine Abos mit Status und aktuellem bezahltem Zeitraum, auch kürzlich beendete	billing:read

domain_list und domain_get erscheinen erst, wenn dein Konto eine Domain hat. Die drei öffentlichen Tools und die zwei zur Verbindung selbst, grant_get und grant_revoke, brauchen keine.

Was du erlauben solltest

Aufgabe	Erlaube
DNS-Einträge ansehen	domain:read, dns:read
DNS-Einträge ändern	domain:read, dns:write
Postfächer und Weiterleitungen einrichten	domain:read, mail:write
Mail-DNS-Einträge einrichten	domain:read, mail:write, dns:write
Domain-Kontakte aktuell halten	handle:write

Wie es weitergeht

• Anwendung verbinden für die Zustimmungsseite
• DNS-Tools, E-Mail-Tools und Kontakt-Tools für jedes Tool