Wenn du eine Drittanbieter-App über OAuth mit MoveMentors verbindest (häufigster Fall: ein KI-Assistent über MCP), erteilst du bestimmte Berechtigungs-Scopes. Dieser Artikel listet jeden Scope und seine Funktion auf.
Das Scope-Modell
MoveMentors OAuth folgt dem Standard OAuth-2.1-Modell mit PKCE. Du autorisierst einen Client (z. B. Claude), der ein Token erhält, das an bestimmte Scopes gebunden ist. Jede Anfrage, die der Client stellt, wird gegen diese Scopes validiert.
Wenn du nur read:bookings gewährst, kann der Client nur Buchungen lesen; Versuche, andere Tools zu verwenden, geben 403 Forbidden zurück.
Du kannst einzelne Scopes während des OAuth-Zustimmungs-Flows gewähren. Du kannst jederzeit widerrufen.
Lese-Scopes
read:profile
Lese dein eigenes Nutzerprofil (Name, E-Mail, Kontotyp, Einstellungen).
Wird von fast jedem Client benötigt. Wenn du das erteilst, weiß die KI, wer du bist; ohne dies kann der Assistent nicht personalisieren.
read:mentor
Lese dein Mentor-Profil (Bio, Fotos, Standorte, Zertifizierungen).
Für Mentor-Konten.
read:studio
Lese dein Studio-Profil.
Für Studio-Konten.
read:classes
Lese die Kurse, die du hostest (Titel, Termin, Kapazität, Preis usw.).
read:bookings
Lese deine Buchungen (sowohl als Host als auch als Schüler).
read:clients
Lese dein Kunden-CRM (Kunden, die gebucht haben, ihre Historie, deine Notizen).
read:financials
Lese dein Einnahmen- und Ausgaben-Dashboard. Pro+-Feature.
read:reviews
Lese Bewertungen auf deinem Profil und Bewertungen, die du hinterlassen hast.
read:messages
Lese deinen Posteingang (Anfragen, Mentor-Nachrichten).
read:public
Durchsuche das öffentliche Verzeichnis (Mentoren, Studios, Kurse). Jeder kann dies ohne Authentifizierung tun, aber als authentifizierter Scope liefert es leicht angereicherte Daten (z. B. Entfernung von deinem gespeicherten Heimstandort).
Schreib-Scopes
write:profile
Aktualisiere dein Nutzerprofil (Name, Einstellungen).
write:mentor / write:studio
Aktualisiere dein Mentor- oder Studio-Profil.
write:classes
Erstelle, aktualisiere, lösche deine Kurse. Ändere Termine, Kapazität und Preise.
Pro+-Feature; Free-Tier-Konten, die diesen Scope gewähren, können dennoch keine Änderungen vornehmen (das Tool gibt "Upgrade erforderlich" zurück).
write:bookings
Erstelle neue Buchungen (Buchung im Namen eines Schülers), storniere Buchungen, markiere als bezahlt.
Hinweis: Buchungen haben Einschränkungen. Du kannst über die API keine Buchung in einem ausverkauften Kurs erstellen, ebenso wenig wie über die UI.
write:clients
Aktualisiere Kundennotizen und Tags.
write:financials
Erstelle, aktualisiere, lösche Ausgaben. Ändere die Einnahmenkategorisierung. Pro+-Feature.
write:reviews
Antworte auf Bewertungen auf deinem Profil.
write:messages
Sende Nachrichten (Anfragen, Antworten, Mentor-Outreach).
Spezielle Scopes
mcp:tools
Erlaubt dem Client, MCP-Tools aufzurufen. Erforderlich für MCP-Server; ohne dies lehnt der MCP-Endpunkt Anfragen ab.
offline_access
Erlaubt dem Client, sein Access-Token zu erneuern, ohne dass du erneut autorisieren musst. Standard-OAuth-Scope; wenn nicht gewährt, muss sich der Client jedes Mal neu authentifizieren, wenn das Token abläuft (ca. 1 Stunde).
Die meisten Clients fragen danach, damit der Nutzer sich nicht ständig neu anmelden muss.
Häufige Scope-Bundles
Die meisten Clients fragen nach einem sinnvollen Bundle statt nach jedem einzelnen Scope. Typische Bundles:
- Nur Lesen:
read:profile,read:bookings,read:classes,read:clients. Nützlich für "zeig mir meinen Stundenplan"-Anwendungsfälle. - Persönlicher Assistent: Nur Lesen plus
write:bookings,write:classes,write:messages. Der Assistent kann deine Operationen verwalten. - Volle Kontrolle: alles außer
write:financials. Für Power-User.
Du kannst auf dem Zustimmungsbildschirm bestimmte Scopes ablehnen; der Client passt sich an (einige Tools sind nicht verfügbar, aber der Rest funktioniert).
Was ich während der Zustimmung tun kann
Der OAuth-Zustimmungsbildschirm zeigt:
- Den Client-Namen (z. B. "Claude Desktop").
- Die Website des Clients (falls angegeben).
- Jeden Scope, den der Client anfordert.
- Eine Checkbox pro Scope (einige sind als erforderlich vorausgewählt).
Du kannst:
- Alles genehmigen (der einfache Standard).
- Bestimmte Scopes abwählen und die Teilmenge genehmigen.
- Vollständig ablehnen.
Zugriff widerrufen
/settings/connected-apps zeigt jeden mit deinem Konto verbundenen OAuth-Client. Für jeden siehst du:
- Den Client-Namen.
- Wann er autorisiert wurde.
- Welche Scopes er hat.
- Letzten Verwendungszeitpunkt.
- Einen "Widerrufen"-Button.
Klicke auf widerrufen, und das Token wird ungültig. Der Client verliert sofort den Zugriff. Wenn du denselben Client später erneut autorisierst, startest du frisch; keine "gemerkten" Scopes.
Audit-Logging
Jede OAuth-Anfrage wird in deinem Audit-Log unter /settings/audit-log protokolliert. Sichtbar:
- Welcher Client die Anfrage gestellt hat.
- Welches Tool aufgerufen wurde.
- Die Argumente (mit sensiblen Werten redigiert).
- Der Antwortstatus.
Nützlich, wenn du wissen möchtest, was ein KI-Assistent in deinem Namen getan hat.
Was Scopes nicht abdecken
Einige Dinge erlauben Scopes ausdrücklich NICHT, unabhängig von der Gewährung:
- Lesen privater Daten anderer Nutzer. Selbst mit vollen Scopes kann ein Client nur auf DEINE Daten und öffentliche Daten anderer zugreifen.
- Auszahlungen auslösen oder Stripe-seitige Einstellungen ändern. Diese liegen bei Stripe, nicht bei uns.
- Ändern von Kontoeinstellungen, die eine E-Mail-Bestätigung erfordern (E-Mail-Adresse ändern usw.).
Das ist beabsichtigt. Einige Aktionen sind zu kritisch für Delegation.
Häufige Fragen
Kann ein Client einen Scope anfordern, den ich nicht gewährt habe? Der Client erhält einen 403 bei jedem Tool, das einen nicht gewährten Scope erfordert. Es gibt keine Eskalationsmöglichkeit.
Kann ich sehen, was ein alter Client gemacht hat, wenn ich ihn widerrufen habe? Ja. Das Audit-Log bewahrt vergangene Anfragen auch von widerrufenen Clients auf.
Können mehrere Clients mit überlappenden Scopes verbunden sein? Ja. Jeder verbundene Client hat sein eigenes Token. Du kannst Claude mit vollem Zugriff UND ChatGPT nur mit Lesezugriff haben.
Gibt es eine Möglichkeit, nach Kurs oder Kunde zu scopen (granularer als Scopes)? Aktuell nicht. Scopes sind die Grenze; wir unterstützen keine "Buchungen nur für Kurs X lesen" oder ähnliche feingranulare ACLs. Wir fügen das eventuell hinzu, wenn Nachfrage besteht.
Warum gibt es keinen delete:account-Scope?
Kontolöschung erfordert eine E-Mail-Bestätigung. Sie kann nicht über OAuth durchgeführt werden, selbst mit vollen Scopes.
Nächste Schritte
- MCP-Server: der Hauptkonsument von OAuth.
- Verbundene Apps: verwalte deine Autorisierungen.