API tokens
Met een API token koppel je je eigen software aan Tixxy: je website, CRM, boekhouding of toegangssysteem. Een token hoort altijd bij één organisatie en kan nooit meer dan jij zelf mag.
Hoe werkt een API token?
Een API token is een geheime sleutel waarmee software namens jou gegevens van één organisatie ophaalt of wijzigt. Drie dingen bepalen wat een token mag:
| Grens | Uitleg |
|---|---|
| De organisatie | Een token werkt alleen voor de organisatie waarin je het aanmaakt. Zit je in meerdere organisaties, dan maak je per organisatie een token. |
| De rechten van het token | Bij het aanmaken kies je wat het token mag, bijvoorbeeld alleen bestellingen lezen. |
| Jouw eigen rechten | Het token kan nooit meer dan jij. Heb je geen toegang tot een evenement, dan ziet het token dat evenement ook niet. |
Je rechten worden live gecontroleerd
Tixxy controleert bij elk verzoek opnieuw of jij de rechten nog hebt. Verlies je een recht of verlaat je de organisatie, dan werkt het token direct niet meer (of niet meer voor dat onderdeel).
Wie mag tokens aanmaken?
Tokens aanmaken en beheren hangt af van twee rechten in je rechtengroep:
| Recht | Wat mag je? |
|---|---|
Eigen API-tokens aanmaken en intrekken (api:access) | Je eigen tokens voor deze organisatie aanmaken en intrekken. |
Alle API-tokens van de organisatie zien en intrekken (api:manage) | Alle tokens van de organisatie zien, inclusief wie ze heeft gemaakt, en ze intrekken. |
Standaard hebben alleen beheerders deze rechten. De API moet ook voor je organisatie zijn ingeschakeld. Neem contact op met Tixxy als je de API wilt gebruiken.
Token aanmaken
- Ga naar Organisatie > Instellingen > API
- Klik op Token aanmaken
- Geef het token een duidelijke naam, bijvoorbeeld "Website" of "CRM"
- Kies de modus: Live of Test (zie hieronder)
- Kies wanneer het token verloopt: na 30 dagen, 90 dagen, 1 jaar of nooit
- Vink de rechten aan die de koppeling nodig heeft
- Beperk het token eventueel tot bepaalde evenementen of IP-adressen
- Klik op Token aanmaken en kopieer het token direct
Het token wordt maar één keer getoond
Kopieer het token meteen naar een veilige plek, zoals een wachtwoordmanager of de geheime instellingen van je server. Kwijt? Maak dan een nieuw token aan en trek het oude in.
Live en test
| Modus | Begint met | Wat doet het? |
|---|---|---|
| Live | tixxy_live_ | Werkt met echte bestellingen en tickets. |
| Test | tixxy_test_ | Maakt en leest alleen testbestellingen. Geen kosten, telt niet mee voor je voorraad en testtickets zijn nooit geldig bij de ingang. |
Gebruik een testtoken zolang je koppeling nog in ontwikkeling is. Een testtoken kan geen evenementen, tickettypes of promocodes aanpassen, omdat dat echte gegevens zijn.
Rechten
Kies alleen wat de koppeling echt nodig heeft. Rechten die jij zelf niet hebt, kun je niet aanvinken.
| Recht | Wat mag het token? |
|---|---|
events:read / events:write | Evenementen lezen, aanmaken en wijzigen |
ticket-types:read / ticket-types:write | Tickettypes lezen, aanmaken, wijzigen en verwijderen |
orders:read / orders:write | Bestellingen lezen, aanmaken, annuleren en opnieuw versturen |
tickets:read / tickets:write | Tickets en hun check-in status lezen, tickets ongeldig maken en downloadlinks opnieuw versturen |
attendees:read | Persoonsgegevens meelezen: namen, e-mailadressen en antwoorden op formuliervelden |
check-ins:write | Tickets inchecken vanuit je eigen toegangssysteem |
promocodes:read / promocodes:write | Promocodes lezen, aanmaken, wijzigen en verwijderen |
products:read | Producten lezen |
guest-lists:read | Gastenlijsten lezen |
reports:read | Verkoopoverzicht per evenement |
webhooks:manage | Webhooks beheren |
Persoonsgegevens apart
Zonder attendees:read krijgt het token bestellingen en tickets zonder namen, e-mailadressen en antwoorden. Zo geef je een koppeling voor bijvoorbeeld rapportages geen toegang tot persoonsgegevens.
Bestellingen aanmaken via de API
Met orders:write kan je software zelf tickets uitgeven, bijvoorbeeld vanuit je eigen inschrijfsysteem. Deze tickets zijn gewone tickets: ze kunnen worden gedownload, gescand en gepersonaliseerd. Daarom geldt de gewone Tixxy-fee per ticket, net als bij tickets handmatig toevoegen.
Voor een live token met orders:write zijn twee dingen nodig:
- Akkoord met de fee. Bij het aanmaken van het token vink je aan dat je hiervan op de hoogte bent. We slaan op wie akkoord gaf en wanneer.
- Een actieve incassomachtiging. Zo kunnen we de fee automatisch innen. Zonder machtiging kun je het recht niet aanvinken, en wordt de machtiging later ingetrokken, dan stopt het aanmaken van bestellingen direct.
Een testtoken heeft geen akkoord en geen machtiging nodig: testbestellingen kosten niets.
Tokens beheren
Op Organisatie > Instellingen > API zie je je tokens voor die organisatie: de rechten, wanneer ze voor het laatst zijn gebruikt (en vanaf welk IP-adres) en wanneer ze verlopen. Met het recht api:manage zie je ook de tokens van anderen.
Via Instellingen > API (je account) zie je al je tokens van alle organisaties op één plek.
Token intrekken
Klik op Intrekken naast het token. Koppelingen die het token gebruiken, stoppen direct.
Verlopen tokens
Een week voordat een token verloopt, krijg je een e-mail. Maak op tijd een nieuw token aan en vervang het in je koppeling.
Limieten
Om Tixxy snel te houden voor iedereen, geldt een maximum aantal verzoeken per minuut:
| Limiet | Standaard |
|---|---|
| Per token | 30 per minuut |
| Per organisatie (alle tokens samen) | 60 per minuut |
| Wijzigingen per organisatie | 20 per minuut |
Heb je meer nodig? Klik op Een hogere limiet aanvragen en vertel wat je bouwt. We beoordelen je aanvraag en laten per e-mail weten wat we kunnen doen.
Tip: gebruik webhooks
Wil je weten wanneer er iets verandert, zoals een nieuwe bestelling? Gebruik dan webhooks in plaats van steeds opnieuw te vragen. Dat is sneller en spaart je limiet.
Voor ontwikkelaars
De technische documentatie van de API, met alle endpoints en voorbeelden, staat op developers.tixxy.nl. Een eerste verzoek ziet er zo uit:
curl https://api.tixxy.nl/v1/me \
-H "Authorization: Bearer tixxy_live_..."Veelgestelde vragen
Nee. Een token hoort altijd bij één organisatie. Maak per organisatie een token aan. Zo kan een koppeling voor de ene organisatie nooit per ongeluk gegevens van een andere zien.
Ze werken direct niet meer. Een collega met het recht api:manage kan ze intrekken en een eigen token aanmaken.
Nee, een token wordt om veiligheidsredenen maar één keer getoond. Maak een nieuw token aan en trek het oude in.
Tokens van vóór september 2026 hoorden niet bij een organisatie en werkten nergens. Die zijn opgeruimd. Maak een nieuw token aan via de API-pagina van je organisatie.