API & MCP

Die dokumentierte öffentliche Basisadresse lautet https://api.nexito.work. Die Referenz gilt nur für Endpunkte und Ressourcen, die in der jeweiligen Version freigegeben und serverseitig autorisiert sind.

REST-API

Geschützte Ressourcen liegen unter /v1/.... Ein organisationsbezogener API-Schlüssel wird als Authorization: Bearer … gesendet. Der vollständige Schlüssel wird nur bei der Erstellung angezeigt; im System bleibt nur sein Hash.

Lesen erfolgt mit GET /v1/{entity} oder GET /v1/{entity}/{id}. Schreiben ist – sofern der Schlüssel den Bereich write besitzt – für Kunden, Kontakte, Leads, Projekte und Aufgaben mit POST beziehungsweise PATCH möglich. Der Request-Body verwendet das fields-Objekt.

Schnellstart

Erstelle zuerst unter /settings/api-keys einen Organisationsschlüssel mit dem kleinsten erforderlichen Scope. organization_id, Ersteller, Tenant-Kontext und Sicherheitsbereich werden niemals aus dem Request übernommen.

curl "https://api.nexito.work/v1/customers?limit=50" \
+  -H "Authorization: Bearer $NEXITO_API_KEY"

Ein neuer Kunde wird mit skalaren Feldern im fields- Objekt angelegt:

curl "https://api.nexito.work/v1/customers" \
+  -X POST \
+  -H "Authorization: Bearer $NEXITO_API_KEY" \
+  -H "Content-Type: application/json" \
+  -d '{"fields":{"display_name":"Beispiel GmbH","customer_type":"company","email":"kontakt@beispiel.de"}}'

Erfolgreiche Antworten liegen unter data. Fehler haben die Form {"error": {"code", "message"}}. Für vollständige Parameter, Statuscodes und Versionen ist die OpenAPI-Spezifikation maßgeblich.

API-Ressourcen und Bereiche
Ressource	Lesen	Schreiben	Bereich
customers	Ja	POST/PATCH	`read`
contacts	Ja	POST/PATCH	`read`
leads	Ja	POST/PATCH	`read`
projects	Ja	POST/PATCH	`read`
tasks	Ja	POST/PATCH	`read`
invoices	Ja	Nein	`finance`
support_tickets	Ja	Nein	`read`
conversations	Ja	Nein	`read`
documents	Ja	Nein	`read`
exports	Ja	Nein	`export`

Die maschinenlesbare Spezifikation steht unter /openapi.json.

Timer-API und Idempotenz

Die Timer-Endpunkte verwenden die versionierte API und dieselben serverseitigen Berechtigungen wie Web-App, PWA und Desktop-Client. Schreibende Aktionen benötigen einen Idempotency-Key. Tenant- und Firmenkontext stammen aus Session oder Token, nicht aus dem Request-Body.

curl "https://api.nexito.work/v1/timer/start" \
+  -X POST \
+  -H "Authorization: Bearer $NEXITO_DESKTOP_TOKEN" \
+  -H "Idempotency-Key: timer-2026-0001" \
+  -H "Content-Type: application/json" \
+  -d '{"projectId":"<uuid>","taskId":"<uuid>","billable":true}'

Ein wiederholter Request mit demselben Schlüssel darf keinen zweiten Seiteneffekt erzeugen. Die konkreten Felder und Antworten stehen in OpenAPI.

MCP

MCP-Clients verbinden sich mit https://api.nexito.work/mcpund verwenden einen organisationsbezogenen Schlüssel als Authorization: Bearer nex_mcp_…. Der verpflichtende Bereich read kann um write, finance oder export ergänzt werden.

Freigegebene Ressourcen umfassen Kunden, Kontakte, Leads, Projekte, Aufgaben, Rechnungen, Supporttickets, Konversationen, Dokumentmetadaten und Exporte. Schreiben, externe Nachrichten und Exporte werden separat berechtigt; externe Kundennachrichten benötigen zusätzlich eine ausdrückliche Bestätigung.

Diese Referenz behauptet keine vollständige Produktabdeckung. Ein Endpoint gilt erst als produktiv, wenn seine serverseitige Autorisierung, Tenant-/Firmenbegrenzung, Fehlerbehandlung und Tests für die jeweilige Version geprüft sind.