# heyFranz auth.md

Zugangs- und Authentifizierungsübersicht von heyFranz (immovio FlexCo) für KI-Agents und Integrationen.

## Zielgruppe dieses Dokuments

Agents, die Inhalte von https://hey-franz.com lesen, und Entwickler:innen, die eine Integration bauen. heyFranz ist eine digitale Mietverwaltungs-Software für private Vermieter:innen und kleine Hausverwaltungen in Österreich und Deutschland.

## Öffentliche Inhalts-API – keine Authentifizierung

Fachartikel (Insights), Lexikonbegriffe, der Produkt-Changelog und die VPI-Werte von Statistik Austria (Grundlage der Rechner unter https://hey-franz.com/rechner) sind ohne Token abrufbar.

- OpenAPI-Beschreibung: https://hey-franz.com/openapi.json
- API-Katalog (RFC 9727): https://hey-franz.com/.well-known/api-catalog
- Basis-URL: https://api.hey-franz.com
- Endpoints: `GET /insights/search`, `GET /insights/{slug}`, `GET /lexicon/search`, `GET /lexicon/{slug}`, `GET /changelog`, `GET /changelog/{slug}`, `GET /vpi/series`, `GET /vpi/series/{seriesKey}`
- Rate-Limit: Basis-Limit pro IP; bei Überschreitung HTTP 429
- Seiteninhalte als Markdown: jede öffentliche Seite unter https://hey-franz.com mit dem Header `Accept: text/markdown` oder über die URL mit `.md`-Endung
- Seitenübersicht: https://hey-franz.com/llms.txt

## Anwendungsdaten – Konto erforderlich

Objekte, Einheiten, Mietverhältnisse, Finanzen und Dokumente liegen hinter einem persönlichen Konto und sind an eine Browser-Session gebunden (JWT-Cookie plus serverseitige Sitzungsprüfung, CSRF-Schutz auf schreibenden Routen). Es gibt derzeit:

- **keine** API-Keys oder Personal Access Tokens,
- **keine** OAuth-Client-Registrierung für Drittanbieter,
- **keine** Agent-Selbstregistrierung.

Ein Agent kann daher nicht selbstständig ein Konto anlegen oder auf Kontodaten zugreifen. Der Weg zu einem Konto führt über die Registrierung durch einen Menschen: https://hey-franz.com/konto/registrieren (14 Tage kostenlos, ohne Kreditkarte). Anmeldung: https://hey-franz.com/konto/anmelden. Zwei-Faktor-Authentifizierung (TOTP) ist im Konto aktivierbar.

## Geplant

Ein öffentlicher MCP-Server und die dazugehörigen OAuth-Discovery-Dokumente (`/.well-known/oauth-protected-resource`, `/.well-known/oauth-authorization-server`) sind in Arbeit. Sobald sie live sind, werden sie hier und im API-Katalog verlinkt. Bis dahin ist dieses Dokument die vollständige Auskunft: Alles, was ohne Konto geht, steht oben.

## Kontakt

immovio FlexCo, Faistenau, Österreich · office@hey-franz.com · https://hey-franz.com/impressum