Daten-API: Limits, 403-Sperre und richtig synchronisieren
Wie viele Anfragen ein API-Schlüssel stellen darf, warum er mit 403 oder 429 antwortet und wie du ohne Dauerabfragen synchron bleibst.
Aktualisiert am 12. November 2026
Daten-API: Limits und richtig synchronisieren
Für jeden API-Schlüssel gelten auf rest.myxentra.com zwei Grenzen. Jede Anfrage zählt mit, auch eine, die nur Daten liefert, die du schon hast.
| Grenze | Wert | Was passiert darüber |
|---|---|---|
| Pro Minute | 60 Anfragen in einem gleitenden 60-Sekunden-Fenster | 429 mit Retry-After (Sekunden) |
| Pro Stunde | 600 Anfragen in einem festen Stundenfenster | 403 Forbidden, bis das Stundenfenster abläuft, höchstens 60 Minuten |
Die Minutengrenze ist ein Puffer für Spitzen, kein Dauertempo. Im Schnitt erlaubt die Stundengrenze 10 Anfragen pro Minute. Wer gleichmäßig 40 pro Minute abfragt, hat seine 600 nach rund 15 Minuten verbraucht und ist für den Rest der Stunde gesperrt. Zusätzliche Schlüssel lösen das nicht: jeder hat dasselbe Limit, und pro IP-Adresse gilt zusätzlich eine eigene Obergrenze. Nutze einen Schlüssel pro Anbindung.
Für Gästenachrichten gilt zusätzlich: höchstens 10 Nachrichten pro Minute über POST /api/v1/messages, darüber 429.
Warum bekomme ich 403?
- Nach etwa 600 Anfragen in einer Stunde: das ist die Stundengrenze, kein Rechteproblem. Warte das Ende des Stundenfensters ab und stelle die Abfragen um wie unten beschrieben. Solche abgewiesenen Anfragen erscheinen nicht im Aufruf-Protokoll des Schlüssels.
- Mit Fehlertext zum fehlenden Recht (zum Beispiel
write:bookingsoderread:invoices): dem Schlüssel fehlt das Recht für diesen Bereich. Das kann auch beim Lesen passieren, denn jeder Endpunkt prüft sein Recht. Rechte lassen sich nachträglich nicht ändern: leg einen neuen Schlüssel mit dem passenden Recht an, siehe API-Key: Rechte, Gültigkeit, Rotieren.
429 oder 403 nie in einer Schleife wiederholen.
Wie viele Aufrufe ein Schlüssel macht, siehst du unter API / MCP, Reiter API-Keys, über das Uhr-Symbol („Aufrufe ansehen“): die letzten 50 Aufrufe mit Route, Status und Dauer.
Das Aufruf-Protokoll eines API-Schlüssels
So bleibst du synchron
- Webhooks für alles Eilige. Einmal anmelden (in der App oder mit
POST /api/v1/webhooks), zum Beispiel fürbooking_created,booking_updated,booking_cancelledundmessage_received. Xentra schickt dir jede Änderung, du fragst gar nicht. - Nur Änderungen lesen. Merk dir die Zeit deines letzten Laufs und frag nur das Delta ab:
GET /api/v1/bookings/?updated_since=<letzter Lauf>undGET /api/v1/messages/?since=<letzter Lauf>. Eine einzelne Buchung lädst du nur, wenn sie in diesem Delta auftaucht. - Langsam abgleichen. Ein Delta-Abruf alle 5 bis 15 Minuten fängt auf, was ein Webhook verpasst hat.
- Selten Geändertes zwischenspeichern. Objekte und Einheiten einmal lesen und nur ab und zu auffrischen.
Nicht so: /messages oder /bookings alle paar Sekunden abfragen, bei jedem Durchlauf alle Buchungen einzeln neu laden, mehrere Agenten oder Skripte parallel dasselbe Konto abfragen lassen. Das gilt besonders für KI-Agenten, die die API in einer Schleife aufrufen.
Die vollständige Beschreibung steht in der API-Doku unter „Rate limits“ und „How to stay in sync“: https://rest.myxentra.com/docs. Reicht das für deinen Fall nicht, schreib an hello@support.myxentra.com.
Grundlagen zu Schlüsseln: siehe Daten-API: Schlüssel, Zugriff und Dokumentation; Webhooks: siehe Webhooks: Ereignisse, Felder und Signatur.