# flow2act · Access-Token abrufen

Melde dich über die API an, ohne die Weboberfläche zu öffnen.

Sende deine flow2act-E-Mail und dein Passwort vertraulich über HTTPS. AWS-Konto, Client-ID, Client-Secret, API-Key und vorherige Browser-Anmeldung sind nicht erforderlich. Dies ist die flow2act-JSON-Anmeldung, kein OAuth-Passwort-Grant. Passwörter und zurückgegebene Tokens gehören weder in KI-Anfragen noch in Logs oder Quellcode.

Bei status=authenticated verwendest du accessToken als FLOW2ACT_ACCESS_TOKEN im Authorization: Bearer-Header. expiresAt und expiresIn beschreiben seine Gültigkeit. Bewahre refreshToken für die Erneuerung im Backend auf. Tokens gewähren nur die jeweiligen Organisationsrechte des angemeldeten Nutzers. Ermittle die Organisation mit POST /v1/workspace {} und sende ihre ID in X-Organization-Id. Nur Live-Administratoren dürfen Nutzer einschließlich Admins einladen.

Ein temporäres Passwort oder MFA liefert status=challenge_required mit challenge und kurzlebigem undurchsichtigem challengeToken. Schließe POST /v1/auth/challenge ab, bevor du einen Access-Token erhältst. Ungültige Zugangsdaten liefern 401, notwendige E-Mail-Bestätigung/Passwort-Wiederherstellung 409, Anfragelimits 429. Pro Instanz gelten 20 Token-/Challenge-Anfragen pro IP und Minute. Wiederhole Anmeldungen nicht in einer engen Schleife.

Workspace-Zugriff erfordert einen eingerichteten Authenticator. Richte ihn zuerst im Browser unter /security ein. Jeder API-Aufruf prüft den Token online und aktualisiert Gruppenrechte. Abmelden widerruft alle laufenden Cognito-Sitzungen. Die API-Anmeldung kann eine MFA-Challenge liefern.

## POST /v1/auth/token

Authentication: public account endpoint; no token required
Required user permissions: Keine Kontorolle erforderlich. The API checks current membership, roles, key scopes and resource permissions on every request. Documentation visibility grants no access.

## Input parameters
- grantType (string, required): password
- email (string, required): email · max length 254
- password (string, required): min length 1 · max length 256

## Request example (replace example IDs)

```sh
curl -X POST "https://api.flow2act.com/v1/auth/token" \
  -H "content-type: application/json" \
  --data-raw '{
  "grantType": "password",
  "email": "alex@example.com",
  "password": "YOUR_PASSWORD"
}'
```

## Response excerpt

```json
{
  "status": "authenticated",
  "tokenType": "Bearer",
  "accessToken": "YOUR_FLOW2ACT_ACCESS_TOKEN",
  "expiresIn": 3600,
  "expiresAt": "2026-10-17T12:00:00.000Z",
  "refreshToken": "YOUR_REFRESH_TOKEN"
}
```

Source: /docs/obtain-token
Full schemas: /docs/openapi.json