Public Endpoints · REST · JSON · Bearer-Auth

API — programmatischer Zugriff

Ab Growth-Tier inklusive. Tenant-scoped API-Keys, Rate-Limits, Audit-Log pro Aufruf. Base-URL: https://<project>.supabase.co

Authentifizierung

API-Key generierst du unter /settings/api-keys. Header-Format:

Authorization: Bearer rsd_live_<your-key>
Content-Type: application/json

•Key ist tenant-scoped — kann nur Daten lesen/schreiben, die zum Tenant gehören
•Rate-Limits: Starter 60/min, Growth 600/min, Agency 6000/min, Enterprise verhandelbar
•Bei 429: Retry-After-Header wird gesetzt
•Public-Endpoints (gdpr-audit, sales-lead, newsletter) brauchen keinen Key — IP-Rate-Limit greift

Endpoints

POST/functions/v1/gdpr-audit· Public

Website-Audit triggern (DSGVO-Score, fehlende Pflichtangaben, Cookie-Banner-Check)

{ "url": "https://example.com", "email": "..." }

POST/functions/v1/ai-act-classify🔒 Bearer

AI-Act-Risiko-Klassifikation für einen Use-Case (Limited / High / Prohibited)

{ "use_case": "Bewerber-Vorauswahl", "domain": "HR" }

POST/functions/v1/sales-lead· Public

Lead-Capture (rate-limited, IP-Hash-Anonymisierung)

{ "email": "...", "company": "...", "source": "audit" }

POST/functions/v1/newsletter-subscribe· Public

Newsletter-Subscribe (Double-Opt-In nach § 7 UWG)

POST/functions/v1/gdpr-export🔒 Bearer

DSGVO Art. 15 Datenexport (maschinenlesbares JSON, Art. 20 konform)

DELETE/functions/v1/gdpr-delete🔒 Bearer

DSGVO Art. 17 Account-Löschung (kaskadiert über alle Tenants)

POST/functions/v1/workflow-trigger🔒 Bearer

n8n-Workflow triggern (mit Tenant-Scope, Audit-Log)

POST/functions/v1/ai-invoke🔒 Bearer

KI-Aufruf mit Provider-Routing (Anthropic / Google / OpenAI / Ollama). Audit-Trail automatisch.

{ "model": "auto-eu", "prompt": "...", "tenant_id": "..." }

Webhooks

Outbound Webhooks für deinen eigenen Stack:

•audit.completed — Audit-Run fertig, mit Score-Delta zur Vorrun
•sub_processor.changed — Sub-Processor-Liste geändert (Art. 28 Abs. 2 Pflicht-Notification)
•incident.reported — 72h-Meldepflicht-Timer gestartet
•subscription.updated — Stripe-Subscription-State-Change

Konfiguration unter /settings/api-keys. HMAC-SHA256-Signatur per Webhook-Secret, 5x Retry mit Exponential-Backoff.

Status & Disclaimer

API ist Beta. Endpoints können sich ändern, Breaking-Changes kündigen wir mindestens 30 Tage vorher in /changelog an. Versionierung via URL-Pfad (/functions/v1/…) — nächste Major bekommt /v2/.

SLA für API-Verfügbarkeit aktuell informell (kein vertraglicher SLO). Im Agency-/Enterprise-Tier ist 99,5 %/99,9 % SLA verhandelbar.

API-Key generieren

Ab Growth-Tier inklusive. 14 Tage testen, keine Kreditkarte.

Tarif starten Enterprise-API anfragen Für SaaS-Anbieter