Aufbau von Anfragen

HTTP-Methoden

Methode	Verwendung
GET	Daten abrufen (Parameter als Query-String oder im Pfad)
POST	Daten erstellen, ändern oder komplexe Abfragen (Body)
OPTIONS	CORS-Preflight – wird automatisch vom Browser gesendet

Andere Methoden (PUT, DELETE, PATCH …) werden nicht unterstützt.

Request-Daten

Authentifizierte Requests enthalten immer den HMAC-Umschlag (hmac_ID, message, hmac) als Body – die eigentlichen Parameter stecken verschlüsselt in message (siehe Authentifizierung). Die API wertet Body-Daten in dieser Reihenfolge aus:

1. Form-Body (application/x-www-form-urlencoded, multipart/form-data)
2. JSON-Body (application/json)
3. Query-Parameter (URL-Query-String)

Die Beispiele der API-Referenz nutzen form-data:

curl -X POST "https://api.ebonaut.io/bereich/aktion" \
  -H "Origin: https://partner.example.com" \
  -F "hmac_ID=<hmac_id>" \
  -F "message=<message>" \
  -F "hmac=<hmac>"

Datei-Uploads werden als multipart/form-data übertragen.

Antwort-Formate

Antwort-Typ	Content-Type	Beschreibung
JSON-Daten	application/json	Standard – Objekte, Listen oder [true] bei Erfolg ohne Payload
Datei-Download	je nach Datei	Binärdaten mit Content-Disposition: attachment
Redirect	–	Status 302 mit Location-Header (z. B. externe Payment-Flows)

CORS

Nur für Browser relevant

CORS betrifft ausschließlich Aufrufe aus dem Browser. Bei der empfohlenen Server-zu-Server-Integration spielen die folgenden Header keine Rolle – wichtig ist nur, dass der Origin-Header mitgesendet wird.

Die API setzt restriktive CORS-Header:

• Access-Control-Allow-Origin wird nur für freigegebene Origins gespiegelt
• Erlaubte Methoden: GET, POST, OPTIONS
• Erlaubte Header: Session, X-Requested-With, Content-Type, Accept, Origin, Authorization, Cache-Control, Auth-Token
• Access-Control-Allow-Credentials: true