Für Entwicklerinnen und Entwickler
API-Dokumentation für Projekte und Website-Scans
Die Web-App nutzt eine API für Projekte und Scans. Alle Projektzugriffe werden auf die zugehörige Organisation beschränkt.
Authentifizierung
Melde dich unter POST /api/auth/login auf derselben Domain an. Der Browser erhält ein HttpOnly-Sitzungscookie; im Antwortinhalt wird kein Token ausgegeben. Die folgenden Projekt-Endpunkte gehören zum authentifizierten Browser-BFF. Schreibende Anfragen müssen vom eigenen Origin kommen. Die zugrunde liegende Backend-API bleibt im Produktionsnetz privat und verwendet intern Bearer-Sitzungen. Separat vergebene API-Schlüssel und eine öffentliche externe API für Integratoren werden derzeit nicht angeboten.
Projekt- und Scan-Endpunkte
| Methode | Pfad | Beschreibung |
|---|---|---|
| POST | /api/auth/login | E-Mail und Passwort → HttpOnly-Sitzungscookie |
| GET / POST | /api/v1/projects | Projekte lesen / anlegen |
| POST | /api/v1/projects/:id/scans | Scan für ein eigenes Projekt starten |
| GET | /api/v1/scans/:id | Status eines Scans lesen |
| GET | /api/v1/scans/:id/summary | Zusammenfassung und Schweregrade |
| GET | /api/v1/scans/:id/pages | Paginierte Seitenergebnisse |
| GET | /api/v1/scans/:id/export?format=csv | Bericht als csv, json, html oder pdf exportieren |
| GET / PUT | /api/v1/projects/:id/monitoring | Geplante Scans lesen / konfigurieren |
Öffentlicher Website-Check
POST /api/check mit {"url":"https://example.com"} liefert einen Check und einen Zugriffstoken. Abruf über GET /api/check/:id mit dem Token als Bearer. Der Token gehört ausschließlich zu diesem Check und ist keine Anmeldung. Ein PDF erhältst du unter GET /api/check/:id/pdf; POST /api/check/:id/report mit einer E-Mail-Adresse beauftragt den einmaligen Versand. Beide benötigen denselben Check-Bearertoken. Eine freiwillige Kontaktanfrage unter POST /api/check/:id/lead erfordert separat consent: true. Den Token nicht in URLs, Logs oder öffentlichen Links speichern.
Fehler und Limits
Ungültige Angaben liefern 400, fehlende Anmeldung 401, unzulässige Zugriffe 403 oder 404, ausgeschöpfte Limits 429 und vorübergehend nicht verfügbare Dienste 503. Die Antwort enthält einen verständlichen Fehler. Quotas werden serverseitig geprüft.
Berichte
JSON eignet sich für eigene Auswertungen, CSV für Tabellen, HTML für eine lesbare Dokumentation und PDF für einen direkt herunterladbaren Bericht. POST /api/v1/scans/:id/email sendet den Bericht einmalig an die bestätigte Konto-Adresse. Der Export enthält die Ergebnisse der tatsächlich geprüften Seiten und kennzeichnet seine Grenzen. Zugangsdaten, interne Netzwerkadressen und private Ziele sind für den Scanner gesperrt.
Praxiswissen für deine nächsten Schritte
- Website auf Barrierefreiheit testen: So geht’s
Ein einfacher Prüfablauf für kleine Teams: URL-Check, verständliche Prioritäten, manuelle Tests und dokumentierte Verbesserungen.
- WCAG 2.2 AA: Die praktische Checkliste
Die wichtigsten WCAG-Themen für deine Website: verständliche Texte, Kontrast, Tastatur, Formulare und neue Anforderungen in WCAG 2.2.