Hallo zusammen,
ich erhalte beim Abruf meiner Depotliste über die comdirect REST API einen HTTP-Status 403 Forbidden.
Die Authentifizierung läuft vollständig erfolgreich mit der offiziellen Postman-Collection:
- OAuth Resource Owner Password Credentials Flow erfolgreich
- Session-Status erfolgreich
- Session-TAN-Validierung angelegt und aktiviert
- Rückmeldung enthält sessionTanActive=true und activatedxFA=true
Direkt danach führt folgender reine Lesezugriff zu einem Fehler:
GET https://api.comdirect.de/api/brokerage/clients/user/v1/depots
Authorization: Bearer <access_token>
Accept: application/json
Antwort:
HTTP/1.1 403 Forbidden
Es werden keine Order- oder sonstigen schreibenden Brokerage-Endpunkte aufgerufen. Das Verhalten tritt sowohl in einer eigenen Read-only-Integration als auch mit der bereitgestellten Postman-Collection auf.
Der Support wies darauf hin, dass OAuth-Credentials stets für die Kontoverbindung gelten, in der sie angelegt wurden, und dass bei fehlendem Depot in dieser Verbindung ein 403 zurückgegeben wird. Nach meiner Prüfung wurden der OAuth-Client und die verwendeten Credentials jedoch im selben persönlichen Zugang erzeugt, in dem das Depot im Webbanking sichtbar ist.
Hat jemand ein vergleichbares Verhalten erlebt oder kann Hinweise geben zu:
- weiteren Voraussetzungen für den Depot-Endpunkt,
- erforderlichen Headers neben Authorization und Accept,
- möglichen Besonderheiten bei mehreren Konten/Depots bzw. Zugängen,
- einer Methode, die dem OAuth-Client zugeordnete Kontoverbindung technisch zu prüfen?
Zugangsdaten, Tokens, Client Secret, Zugangsnummer und PIN kann ich selbstverständlich nicht veröffentlichen. Gern liefere ich anonymisierte Request- und Response-Header nach.
Vielen Dank!
