API & Webhooks Roadmap

Events, Roles, Shifts, Helpers, Assignments, Messages, Availability, Webhooks, Automations.

ProPass oder api_access_plus für Core API, zusätzlich webhooks_access für Webhooks.

HMAC-SHA256-Signatur, bis zu drei Zustellversuche, SSRF-Schutz und nachvollziehbares Delivery-Log.

developers.crewio.co/reference rendert die Spec menschenlesbar, /openapi.json maschinenlesbar.

/helpers, /events, /events/{id}/messages unterstützen cursor/next_cursor. Offset bleibt rückwärtskompatibel.

24h Replay-Schutz für alle POST/PATCH, Antworten deterministisch wiedergegeben.

Einzel-Update inkl. Tags-Merge sowie Entzug von Event-Zugriff per Endpoint.

Stabile x-crewio-error-codes-Sektion in der OpenAPI-Spec, gleicher Code in jedem Response.

Zwei aktive Secrets parallel (X-Crewio-Signature + Signature-Previous), nahtlose Rotation.

Fehlgeschlagene Zustellungen können kontrolliert aus dem Vereins-Dashboard erneut gesendet werden.

Statusliste und manueller Replay sind live; Filter, Payload-Vergleich und Copy-as-cURL folgen.

Auto-generiert aus OpenAPI, getypte Resources, Retry- und Idempotency-Helpers.

Aus der Spec gebundelt, mit Environment-Vorlagen für Live- und Sandbox-Schlüssel.

Jeder PR wird gegen die OpenAPI-Spec validiert, Drift = rotes Build.

Ablauf, Last-Used, Rotation und Widerruf sind sichtbar; vollständige Lifecycle-Audit-Events werden ergänzt.

Synthetische Beispiel-Events können direkt aus Dashboard und API an Empfänger gesendet werden.

Bis 200 Operationen pro Request mit Conflict-Resolution-Strategie.

Optionaler Dry-Run plus Strategien overwrite, keep_existing und merge.

Volltext + Facetten über Events, Helpers, Shifts. Verein-scoped.

Filter auf event_id, role_id, Tags – nur relevanter Traffic erreicht den Endpoint.

CIDR-Listen schützen vor versehentlichem Test-Traffic in Produktion.

Rollender Success-Indikator und Mail-Alert an den Owner bei n Failures in Folge.

Sync und Async-Client, gleicher Resource-Stil wie das TS-SDK.

crw_test_…-Keys, isolierte Test-Datenbank, identischer API-Vertrag, freier Webhook-Replay.

Auto-generierte cURL/JS/Python-Snippets pro Endpoint, dunkler & heller Modus.

API-Keys ohne menschlichen Owner, optional auf Allowlist-IPs eingeschränkt.

Standardisierte Rate-Limit-Header plus Endpoint für aktuelle API-, Webhook- und Add-on-Kontingente.

Drittanbieter-Apps erhalten scoped Access-Tokens pro Verein-Owner-Zustimmung.

GET /audit-log mit Filtern auf Aktor, Resource, Zeitraum. Pflicht für Enterprise-Compliance.

GET /reports/api-usage liefert Calls, Latenzen und Fehlerquoten pro Endpoint.

Outbound nur mit gültigem Trust auf Basis kundeneigener Client-Zertifikate.

Empfänger bestätigen Delivery mit eigenem HMAC – auditfähiger Trail.

Vorgefertigte Empfänger mit Mapping-UI, kein Glue-Code mehr für klassische Notifications.

Schließt die Sprach-Lücke für Backend-Integrationen.

Drittanbieter können Integrationen einreichen, geprüft und ins App-Directory gelistet.

DPA-Anhang, SOC-2-Auftrag, GDPR-Hinweise zentral auf developers.crewio.co/compliance.

Erinnerungen für Keys älter als 12 Monate, Enterprise kann erzwungene Rotation aktivieren.

Brandbarer Freigabe-Dialog für Drittanbieter-Apps mit Scope-Erklärung, App-Identität und Widerrufshinweisen.

Rückwärtskompatibles Sammel-Release mit Quality-of-Life-Fixes.

Top-Helfer, Verfügbarkeitsraten, Channel-Performance per Endpoint.

GET /events/{id}/stream liefert Check-ins und Assignment-Wechsel in Echtzeit.

developers.crewio.co/apps mit Kategorien, Filter und Revenue-Share-Programm.

Maschinenlesbare Releases pro API-Major-Version unter /changelog.rss.

Breaking-Change-Sammlung (Cursor-only Pagination, einheitliches error-Format) plus Migration-Layer.

GET /events/{id}/live-snapshot liefert Check-ins, offene Rollen, Incidents und letzte Änderungen als kompakten Zustand.

Workflows per API erstellen, aktivieren, pausieren und auslösen – mit Audit-Events pro Änderung.

Feingranulare OAuth-Scopes für Apps im Directory, getrennt nach Lesen, Schreiben und Event-Day-Aktionen.

Versionierte Payload-Schemas mit Beispiel-Events, Breaking-Change-Markierung und Contract-Checks.

Nicht zustellbare Events bleiben sichtbar, filterbar und können nach Korrektur gesammelt erneut gesendet werden.

Stabile SemVer-Releases, Changelog pro SDK, generierte Migrationshinweise und Beispiel-Apps.

Review-Prozess für öffentliche Apps inkl. Security-Fragebogen, Test-Webhook und Datenminimierungsprüfung.

Öffentliche Checkliste für App-Directory-Einreichungen mit Security-, Datenschutz- und UX-Kriterien.

Opt-in Preview mit cursor-only Pagination, konsistentem Fehlerformat und strengerer Ressourcen-Normalisierung.

Kompatibilitätsreport pro API-Key, Code-Mod-Hinweise und Testmodus für v1-zu-v2-Verhalten.

Empfänger können Payload-Versionen pinnen und geplante Upgrades kontrolliert pro Endpoint testen.

RSS/JSON-Feeds für Breaking Changes, konkrete Upgrade-Guides und Fristen pro API-Version.

Enterprise-Kunden können API-Zugriffe nach Region, IP-Bereich und Integrationsklasse einschränken.

Latenz-, Fehler- und Quota-Metriken pro App mit Export in externe Monitoring-Systeme.

Report zeigt pro API-Key und Integration genutzte v1-Features, v2-Risiken und konkrete Upgrade-Schritte.