API-Dokumentation
Erstellen und verwalten Sie Links programmatisch und rufen Sie Statistiken ab — über die Quik.mn REST API.
Alle Dienste
Alle Produkte der Quik.mn-Plattform — per REST API und im Web.
Basis-URL
Alle Endpoints beginnen mit dieser Basis-URL:
Authentifizierung
Übergeben Sie Ihren API-Schlüssel aus dem Dashboard bei jeder Anfrage im Authorization Header:
Geben Sie Ihren Schlüssel niemals weiter. Falls er kompromittiert wurde, erstellen Sie im Dashboard einen neuen.
Endpoint-Liste
Parameter
POST /api/v1/links — body-Felder:
GET /api/v1/links — query-Parameter:
Fehlerformat
Jeder Fehler kommt mit einem HTTP-Statuscode (401, 404, 409, 422, 429) und einer einheitlichen JSON-Struktur:
{ "error": "alias_taken", "message": "Dieser Alias ist reserviert oder bereits vergeben." }
Häufige Codes: unauthorized (401), not_found (404), alias_taken (409), invalid_url / invalid_alias / invalid_expires_at / invalid_starts_at (422), rate_limited (429).
Limits
Beispielanfrage
cURL-Beispiel zum Erstellen eines Kurzlinks:
curl -X POST https://quik.mn/api/v1/links \
-H "Authorization: Bearer qk_live_xxxxxxxxxxxxxxxx" \
-H "Content-Type: application/json" \
-d '{
"url": "https://beispiel.de/ein/sehr/langer/pfad",
"alias": "promo",
"title": "Frühjahrskampagne",
"expires_at": "2026-12-31 23:59:59"
}'
Webhook
Registrieren Sie einen Endpoint im Webhook-Bereich des Dashboards — bei jedem gewählten Ereignis senden wir einen JSON-POST an Ihre URL. Eine 2xx-Antwort gilt als Erfolg; andernfalls versuchen wir es bis zu 3-mal erneut, mit 1 bis 10 Minuten Abstand. Nach 10 Fehlschlägen in Folge wird der Webhook automatisch deaktiviert.
Aufbau jeder Zustellung (Beispiel):
{
"event": "link.created",
"created_at": "2026-07-18T09:30:00+00:00",
"data": {
"link": {
"id": 42, "slug": "promo", "short_url": "https://quik.mn/promo",
"long_url": "https://beispiel.de/ein/sehr/langer/pfad", "title": "Frühjahrskampagne",
"clicks": 0, "active": true, "state": "ok",
"created_at": "2026-07-18 09:30:00", "expires_at": "2027-07-18 09:30:00"
}
}
}
Signatur prüfen
Jede Zustellung kommt mit diesen Headern: X-Quik-Event (Name des Ereignisses), X-Quik-Signature — sha256=HMAC_SHA256(body, secret). Das Secret wird nur ein einziges Mal angezeigt — beim Erstellen des Webhooks. Prüfen Sie die Signatur UNBEDINGT über den rohen (raw) body und nur mit einem zeitkonstanten Vergleich:
<?php
// PHP — Signatur über den rohen (raw) body prüfen
$payload = file_get_contents('php://input');
$signature = $_SERVER['HTTP_X_QUIK_SIGNATURE'] ?? '';
$expected = 'sha256=' . hash_hmac('sha256', $payload, $secret);
if (!hash_equals($expected, $signature)) {
http_response_code(401);
exit('invalid signature');
}
$event = json_decode($payload, true);
// $event['event'], $event['data'] ...
http_response_code(200);
// Node.js (Express) — Signatur über den rohen (raw) body prüfen
const crypto = require('crypto');
app.post('/quik-webhook', express.raw({ type: 'application/json' }), (req, res) => {
const signature = req.get('X-Quik-Signature') || '';
const expected = 'sha256=' +
crypto.createHmac('sha256', secret).update(req.body).digest('hex');
const a = Buffer.from(expected), b = Buffer.from(signature);
if (a.length !== b.length || !crypto.timingSafeEqual(a, b)) {
return res.status(401).send('invalid signature');
}
const event = JSON.parse(req.body); // event.event, event.data ...
res.sendStatus(200);
});
Limits: Tarif Free 1, Pro 3, Business 10 Webhooks. Der Endpoint muss eine öffentlich erreichbare http/https-Adresse sein (interne Netzwerkadressen sind nicht erlaubt).
