Zum Inhalt springen
Resilience Platform Resilience Platform
DE | EN
📬 🔍 Sollmaßnahmenkatalog

API

API-Dokumentation

Nachvollziehbarer Überblick über Zugriff, Authentifizierung und verfügbare Schnittstellen der Resilience Platform.

API-Zugriffsmodell

Öffentliche Referenzdaten

Ausgewählte GET-Endpunkte liefern veröffentlichte Plattform- und Referenzdaten ohne API-Schlüssel.

API v1

Tenantbezogene Ressourcen verwenden einen verwalteten API-Schlüssel und unterstützen je nach Route auch Schreiboperationen.

API v2

Versionierte JSON-Antworten mit Filtern, Limit und Offset; Zugriff nur mit gültigem Bearer-Token.

Sicherheitsgrenzen der v1-API

Der Mandantenkontext stammt aus dem API-Schlüssel, nicht aus einer frei wählbaren Mandanten-ID im Request. Schlüssel und Berechtigungen sind getrennt von einer interaktiven Portal-Anmeldung zu verwalten.

  • Schreibzugriffe für Timeline-Synchronisation, Konzentrationsrisikoanalyse, Schwellenwerte und Webhook-Verwaltung verlangen die Schlüsselberechtigung write.
  • Die Erstellung weiterer Schlüssel verlangt manage_keys. Leserechte werden nicht als universell durchgesetzter separater read-Scope zugesichert.
  • Fehlende, ungültige oder abgelaufene Schlüssel: HTTP 401; fehlende Berechtigung: HTTP 403; nicht auffindbare Ressourcen: HTTP 404; ungültige Eingaben: HTTP 422; Rate-Limit: HTTP 429.
  • Webhook-Ziele unterliegen einer kanalbezogenen Zielprüfung. Eine allgemeine kryptografische Payload-Signatur oder Replay-Abwehr wird hier nicht zugesichert.
  • Eine API-weite Idempotenzgarantie und ein lückenloser fachlicher Audit-Trail sind nicht dokumentiert. Schreibanfragen dürfen deshalb nach unklaren Antworten nicht ungeprüft wiederholt werden.

OpenAPI-3.1-Sicherheits- und Routenvertrag v1 (JSON): aus den registrierten Routen und Berechtigungsmiddlewares erzeugt. Payload-Schemas sind noch nicht vollständig spezifiziert. Dies ist kein Nachweis eines unabhängigen Tenant-Isolationstests.

Öffentliche Referenzendpunkte

Diese Endpunkte sind lesend erreichbar. Sie sind nicht als Schnittstelle für vertrauliche Tenantdaten ausgewiesen.

MethodeEndpunktZweck
GET /api Index der öffentlichen Referenzendpunkte
GET /api/risk-register Öffentliche Referenzdaten des IKT-Risikoregisters
GET /api/vendor-scorecard Öffentliche Referenzdaten der Lieferantenbewertung
GET /api/incident-drills Referenzszenarien für Incident-Übungen
GET /api/gap-analysis Referenzdaten der Framework-Gap-Analyse
GET /api/measures Öffentlich bereitgestellter Maßnahmenkatalog
GET /api/evidence Öffentlicher Evidence-Referenzkatalog
GET /api/radar Veröffentlichte Regulatory-Radar-Signale
GET /api/modules Übersicht veröffentlichter Plattformmodule
GET /api/stats Aktuell vom System ermittelte Plattformkennzahlen

Authentifizierte APIs

API v1

Authentifizierung mit Authorization: Bearer <API_KEY> oder X-API-Key. Das wirksame Limit beträgt 60 Anfragen pro 60 Sekunden und API-Schlüssel.

  • GET /api/v1/programmes Testprogramme lesen
  • GET /api/v1/programmes/{id} Ein Testprogramm lesen
  • GET /api/v1/test-cases Testfälle lesen
  • GET /api/v1/test-cases/{id} Einen Testfall lesen
  • GET /api/v1/findings Feststellungen lesen
  • GET /api/v1/findings/{id} Eine Feststellung lesen
  • GET /api/v1/compliance-status Frameworkübergreifenden Compliance-Status lesen
  • GET /api/v1/compliance-status/dora DORA-Status lesen
  • GET /api/v1/compliance-status/marisk MaRisk-Status lesen
  • GET /api/v1/compliance-status/iso-27001 ISO-27001-Status lesen
  • GET /api/v1/compliance-status/cra CRA-Status lesen
  • GET /api/v1/dora/measures DORA-Maßnahmen lesen
  • GET /api/v1/dora/measures/{id} Eine DORA-Maßnahme lesen
  • GET / PATCH /api/v1/cra/reports/{id} CRA-Schwachstellenmeldung lesen oder bearbeiten
  • GET /api/v1/compliance-timeline Compliance-Timeline lesen
  • POST /api/v1/compliance-timeline/sync Compliance-Timeline synchronisieren
  • POST /api/v1/concentration-risk/analyze Konzentrationsrisiko analysieren
  • GET /api/v1/concentration-risk/latest Letztes Analyseergebnis lesen
  • GET /api/v1/concentration-risk/breaches Schwellenwertverletzungen lesen
  • GET / PATCH /api/v1/concentration-risk/thresholds Schwellenwerte lesen oder bearbeiten
  • REST /api/v1/webhooks Webhooks verwalten

API v2

Authentifizierung mit Authorization: Bearer <API_KEY>. Die Routen sind auf 60 Anfragen pro Minute begrenzt.

  • /api/v2 API-Index
  • /api/v2/risk-register IKT-Risikoregister mit Filtern
  • /api/v2/vendor-scorecard Lieferantenbewertung mit Filtern
  • /api/v2/incident-drills Incident-Übungsszenarien
  • /api/v2/gap-analysis Framework-Gap-Analyse
  • /api/v2/compliance-timeline Compliance-Meilensteine
  • /api/v2/compliance-training Trainingsmodule
  • /api/v2/vendor-risk-assessment Fragen zur Lieferantenrisikobewertung
  • /api/v2/dashboard-widgets Verfügbare Dashboard-Widgets
  • /api/v2/alerts Aktive Hinweise
  • /api/v2/performance/overview Technische Performance-Übersicht
  • /api/v2/compliance-scores Compliance-Scores
  • /api/v2/search?q={suchbegriff} Modulübergreifende Suche

Sicherer Aufruf

API-Schlüssel gehören ausschließlich in den Request-Header. Sie dürfen nicht in Quellcode, Protokollen oder geteilten URLs abgelegt werden.

curl --request GET \
  --header "Accept: application/json" \
  --header "Authorization: Bearer <API_KEY>" \
  "https://resilience.amartens.com/api/v2/risk-register?limit=25&offset=0"

Erfolgreiche v2-Listenantworten enthalten data und meta. Fehler werden als JSON mit einem passenden HTTP-Status zurückgegeben. Konkrete Inhalte und Zählwerte werden hier bewusst nicht statisch vorgegeben.

API-Schlüssel verwalten

Tenantbezogene API-Schlüssel werden im angemeldeten Arbeitsbereich erstellt und widerrufen.

Zur Schlüsselverwaltung

Technische Rückfragen

Für Freischaltung, Integrationsumfang und technische Klärung gilt die zentrale Plattformadresse.

amspeak@amartens.com