Produkt-Updates, Juni 2026: Entwurfsbereinigung, Sitzungssicherheit und Domainverwaltung

Diesen Monat wurden drei Änderungen veröffentlicht, die einen gemeinsamen Nenner haben: mehr betriebliche Kontrolle über die Anfragen, Sitzungen und Domains, die Ihre Integration verwaltet. Keine davon ist groß genug für einen eigenen Beitrag, aber zusammen decken sie die Art von Verwaltungsaufgaben ab, die wichtig werden, sobald Sie ein echtes Volumen über die API abwickeln. Hier ist das, was neu hinzugekommen ist.

Unversendete Signaturanfragen über die API löschen

Sie können Entwürfe von Signaturanfragen jetzt programmatisch mit DELETE /signing-requests/{id} löschen. Dies gilt nur für Anfragen, die noch nicht gesendet wurden. Sobald eine Anfrage gesendet wurde, bleibt sie stattdessen auf dem Stornierungspfad, wodurch der Audit-Trail für alles, was ein Unterzeichner eventuell bereits gesehen hat, intakt bleibt.

Ein erfolgreicher Aufruf gibt eine 200 mit der signing_request_id und einem deleted_on-Zeitstempel zurück. Wenn Sie versuchen, eine bereits gesendete Anfrage zu löschen, erhalten Sie eine 409 anstelle eines lautlosen Fehlers, sodass Ihr Code sauber zwischen Löschen und Stornieren verzweigen kann. Eine fehlende oder unbekannte ID gibt 404 zurück.

Es gibt auch ein neues Webhook-Ereignis signing_request.deleted, das ausgelöst wird, wann immer eine Anfrage über die API gelöscht wird. Wenn Sie den Signaturstatus in Ihrer eigenen Datenbank spiegeln, können Sie dieses abonnieren und Ihre Datensätze ohne Polling synchron halten.

Der offensichtliche Anwendungsfall ist die Bereinigung. Wenn Ihre Integration Entwürfe im Rahmen eines Erstellungs- und anschließenden Überprüfungsablaufs erstellt oder Anfragen spekulativ generiert und die nicht verwendeten verwirft, müssen Sie ungenutzte Entwürfe nicht mehr ungenutzt herumliegen lassen. Sie können sie im Rahmen desselben Ablaufs löschen, mit dem sie erstellt wurden.

Dies wurde in API v1.22.0 veröffentlicht.

Stärkere Sitzungsabmeldung für Unterzeichner bei OTP-geschützten Anfragen

Bei Anfragen, für die die OTP-Verifizierung aktiviert ist, laufen die Sitzungen der Unterzeichner nun nach einem festen Zeitplan ab. Eine Sitzung endet nach einem gleitenden 4-stündigen Inaktivitätsfenster oder als feste Obergrenze 12 Stunden nach der letzten Verifizierung, je nachdem, was zuerst eintritt. Wenn eine Sitzung abläuft, verifiziert sich der Unterzeichner erneut mit einem neuen 6-stelligen Code. Dieser Code ist 10 Minuten lang gültig, erlaubt 5 Versuche und hat eine 60-sekündige Abkühlzeit für den erneuten Versand.

Dies betrifft nur Anfragen, bei denen require_otp_verification aktiviert ist. Wenn Sie keine OTP-Verifizierung nutzen, ändert sich für Sie nichts. Für die Anfragen, die sie nutzen, ist keine Aktion des Senders erforderlich und bestehende Signatur-Links funktionieren weiterhin. Das neue Ablaufverhalten gilt einfach zusätzlich.

Der Grund, warum dies wichtig ist, sind gemeinsam genutzte und öffentliche Geräte. Wenn ein Unterzeichner ein sensibles Dokument auf einem Rechner öffnet, der nicht ihm gehört, und weggeht, stellt eine Sitzung, die nie abläuft, ein Risiko dar. Ein festes Inaktivitätsfenster plus eine feste Obergrenze schränkt ein, wie lange dieses Fenster offen bleibt. Wenn Sie Vereinbarungen bearbeiten, die echte Vertraulichkeitsanforderungen mit sich bringen, stärkt dies Ihre Position und hilft Ihnen, die Anforderungen an die Zugriffskontrolle zu erfüllen, auf die Frameworks wie HIPAA und SOC 2 Wert legen.

Details finden Sie im Eintrag zu den Plattform-Updates vom 29. Mai, wobei die zugrunde liegende OTP-Einstellung ab API v1.09.00 dokumentiert ist.

Eine primäre oder die einzige E-Mail-Versanddomäne löschen

Das Löschen einer benutzerdefinierten E-Mail-Versanddomäne war früher blockiert, wenn es sich um Ihre primäre oder einzige Domäne handelte. Diese Einschränkung ist nun aufgehoben. DELETE auf den Domänen-Endpunkten des Unternehmens oder Arbeitsbereichs funktioniert jetzt unabhängig davon, ob die Domäne primär ist.

Nachdem Sie sie gelöscht haben, fällt der ausgehende E-Mail-Versand auf den Standard-Absender des Unternehmens zurück und anschließend auf den Standard-Absender der Plattform, falls kein Unternehmens-Absender eingerichtet ist. Um sauber zu einer neuen benutzerdefinierten Domäne zu wechseln, fügen Sie die neue hinzu, verifizieren sie und legen sie als primär fest. Sie müssen eine veraltete Domäne nicht mehr behalten, nur weil die API es Ihnen nicht erlaubt hat, die letzte zu entfernen.

Dies ist eine kleine Änderung, aber sie beseitigt einen echten Reibungspunkt für jeden, der Domänen migriert. Eine Domänenmigration sollte kein Support-Ticket erfordern, und jetzt tut sie es auch nicht mehr.

Dies wurde in API v1.22.1 veröffentlicht.

Erste Schritte

Alle drei Änderungen sind jetzt in der API live. Vollständige Details zu Anfragen und Antworten finden Sie im API-Changelog.

Starten Sie kostenlos mit Firma.dev, keine Kreditkarte erforderlich. Pay-as-you-go für 0,049 € pro Umschlag (~5¢ USD), keine monatlichen Mindestumsätze, keine Verträge.