Aus dem Englischen übersetzt. Bei Abweichungen gilt die englische Seite. Auf Englisch lesen
Authentifizierung
API-Schlüssel, Scopes, Testmodus und die Sicherheitsregeln, die deinen Shop schützen.
Alle Requests werden mit einem an den Shop gebundenen API-Schlüssel authentifiziert, der als Bearer-Token gesendet wird:
curl https://api.nembol.com/rest/v1/store \
-H "Authorization: Bearer nbl_live_xxxxxxxxxxxxxxxxxxxxxxxx"Schlüssel erstellt der Shop-Inhaber im Nembol-Dashboard unter Einstellungen → Entwickler. Das vollständige Secret wird einmal angezeigt, bei der Erstellung. Bewahre es in einem Secret Manager auf. Danach sind nur noch Name und Präfix sichtbar.
Schlüsselmodi
| Präfix | Modus | Verhalten |
|---|---|---|
nbl_live_ | Live | Voller Zugriff; Schreibvorgänge werden an deine Kanäle weitergegeben. |
nbl_test_ | Test | Alles wird validiert und simuliert; nichts wird gespeichert und kein Kanal wird je berührt. Simulierte Kanalergebnisse sind als "simulated" gekennzeichnet. |
Integriere zuerst mit einem Testschlüssel und wechsle zu einem Live-Schlüssel, wenn deine Abläufe funktionieren. Partner können die gesamte Integration außerdem echt und ohne Abrechnung in der Sandbox ausführen.
Deinen Schlüssel in den Beispielen verwenden
Füge einen Test (nbl_test_…) -Schlüssel ein, und jeder Codeblock auf dieser Seite setzt ihn für dich ein. Er wird nur in diesem Browser gespeichert und nirgendwohin gesendet.
Scopes
Jeder Schlüssel trägt nur die Scopes, die du ihm gewährst:
| Scope | Erlaubt |
|---|---|
products:read | Produkte, Varianten und Angebote lesen |
products:write | Produkte und Bilder erstellen, aktualisieren und löschen |
inventory:write | Nur Menge und Preis aktualisieren (sicherer für Bestandssync-Integrationen) |
listings:write | Pro Kanal veröffentlichen und delisten |
orders:read | Bestellungen lesen. Enthält personenbezogene Daten der Käufer, verarbeite sie also rechtmäßig |
orders:write | Bestellungen als versendet markieren, Sendungsverfolgung anhängen, den Marktplatz benachrichtigen |
webhooks:manage | Webhook-Endpoints verwalten |
events:read | Das Event-Log lesen |
channels:write | Einstellungen von Kanalkonten ändern: Sync-Regeln, Preisregel, Mengenobergrenze, Standardrichtlinien/-kollektion |
channels:connect | Kanalkonten verbinden und trennen, die Weiterleitungs-URLs der Verbindungslinks verwalten |
billing:read | Plan, Nutzung, Zahlungsmethode und Rechnungen des Shops lesen |
storefront:write | Storefront-Einstellungen (nicht Zahlungen), Rabattcodes und Bundles |
promotions:write | Aktionen erstellen, ändern, beenden und löschen (zeitlich begrenzte Rabatte auf den Kanälen) |
billing:manage | Links zum Abonnieren, Planwechsel, Aktualisieren der Karte, Kündigen oder Verlängern erstellen; die kostenlose Testphase neu starten |
accounts:manage | Nur für Partner. Deine Unternehmen erstellen, ändern und schließen, die Partnerabrechnung und Rechnungsdaten lesen und mit dem Header Nembol-Account innerhalb eines Unternehmens arbeiten (ohne diese Berechtigung antwortet jeder Request mit diesem Header mit 403 insufficient_scope). Erscheint unter Einstellungen → Entwickler nur bei einem Partnerkonto, und die Vorlage Lesen & Schreiben enthält ihn. Siehe Partnerprogramm. |
Requests ohne den benötigten Scope schlagen mit 403 und
error.type: "authentication_error" fehl.
Sicherheitsregeln
- Verwende API-Schlüssel nie in Browser- oder Mobile-Code. Die API ist Server-zu-Server; Browser werden bewusst durch CORS blockiert (der einzige erlaubte Origin ist der Playground dieser Dokumentation).
- Ein Schlüssel pro Integration. Teile Schlüssel nicht zwischen Systemen, damit du einen rotieren kannst, ohne die anderen zu beeinträchtigen.
- Rotiere sofort, wenn ein Schlüssel kompromittiert wurde (Dashboard → Schlüssel → Rotieren): Das alte Secret funktioniert sofort nicht mehr, und du erhältst ein neues Secret, das einmal angezeigt wird.
- Schlüssel lassen sich jederzeit widerrufen; der Widerruf wirkt sofort.
Zuletzt aktualisiert am 20. Oktober 2026
Brauchst du Hilfe?
Schreib uns, und ein Mensch antwortet, meist innerhalb eines Werktags.
Schnellstart
Vom API-Schlüssel zum Produkt live auf einem Kanal, in weniger als 5 Minuten.
Integration testen
Zwei Wege zu testen, ohne jemanden zu beeinträchtigen: Testschlüssel, um einzelne Requests zu prüfen, und eine Sandbox, um deine gesamte Integration echt auszuführen, ohne dass etwas abgerechnet wird.