API-Tokens und Webhooks
Aktualisiert am 14. Oktober 2026
Verfügbarkeit
API und Webhooks gehören zu den Tarifen, die sie enthalten (siehe Preisseite). Enthält Ihr Tarif sie nicht, sagt das die Seite API und Webhooks. Nur Inhaber und Administratoren können sie öffnen.
Token erstellen
- Öffnen Sie API und Webhooks und suchen Sie Tokens.
- Geben Sie einen Namen des Tokens ein, zum Beispiel „unser CRM“. Standardmäßig darf ein Token nur lesen. Setzen Sie ein Häkchen bei Darf Websites hinzufügen und Prüfungen starten, wenn das Werkzeug schreiben muss.
- Klicken Sie auf Token erstellen und kopieren Sie den Token sofort: Er wird nur einmal angezeigt. Haben Sie ihn verloren, löschen Sie ihn und erstellen Sie einen neuen.
Löschen Sie Tokens, die Sie nicht mehr verwenden; die Liste zeigt, wann jeder zuletzt genutzt wurde.
API aufrufen
Die Basisadresse und ein Link zur OpenAPI-Beschreibung stehen im Block So starten Sie. Senden Sie den Token im Header:
curl -H "Authorization: Bearer $TOKEN" -H "Accept: application/json" https://pandus.online/api/v1/sites
Mit der API können Sie Websites auflisten, hinzufügen und löschen, eine Prüfung starten und eine Prüfung samt Bericht und PDF abrufen. Ein Token darf bis zu 60 Anfragen pro Minute senden.
Webhooks
Ein Webhook meldet Ihrem System, wenn etwas passiert, sodass Sie nicht nachfragen müssen. Klicken Sie auf Webhook hinzufügen, geben Sie eine https-Adresse ein und wählen Sie die Ereignisse: abgeschlossene Prüfung (scan.completed) und neu gefundene Probleme (issues.new). Ein Team kann bis zu fünf Adressen haben.
Jede Nachricht ist signiert. Im Header Pandus-Signature stehen ein Zeitpunkt und eine HMAC-SHA256-Signatur, erzeugt mit Ihrem Signatur-Secret. Prüfen Sie sie, bevor Sie der Nachricht vertrauen.
Mit Test senden probieren Sie die Adresse aus. Das Zustellprotokoll listet jeden Versuch. Eine fehlgeschlagene Nachricht wird bis zu sechsmal in etwa einem Tag erneut versucht; Sie können sie auch von Hand wiederholen. Eine Adresse, die dauernd fehlschlägt, wird nach 20 Fehlern in Folge abgeschaltet. Adressen in privaten Netzen werden abgelehnt.