Die Floowa-API

Anmeldung

Ein Administrator legt unter Einstellungen → API-Zugänge ein Token an, wählt die Rechte je Funktion und ein Ablaufdatum (30, 90 oder 365 Tage oder unbegrenzt). Das Token wird nur einmal angezeigt.

Authorization: Bearer <token>
Accept: application/json

Basis-URL: https://www.floowa.de/api/v1

• Jede Anfrage läuft in der Firma des Token-Inhabers und darf nie mehr, als das Token und die eigenen Rechte des Inhabers erlauben.
• Die API ist in allen Paketen enthalten; Endpunkte gebuchter Module stehen zur Verfügung, sobald das Modul aktiv ist.
• Fehlermeldungen kommen in der Sprache des Headers Accept-Language (sonst Englisch).

Webhooks und Signatur

Jede Zustellung ist ein POST mit JSON an Ihre HTTPS-Adresse, mit den Headern X-Floowa-Event, X-Floowa-Delivery und X-Floowa-Signature.

Die Signatur hat die Form t=<Zeitstempel>,v1=<Signatur>. v1 ist ein HMAC-SHA256 über „<Zeitstempel>.<Rohdaten>“ mit Ihrem Signatur-Schlüssel. Vergleichen Sie zeitkonstant und verwerfen Sie alte Zeitstempel.

Antwortet Ihr Server nicht mit einem 2xx-Status, versucht Floowa es nach 1, 5 und 30 Minuten und nach 2 Stunden erneut. Nach 20 Fehlversuchen in Folge wird der Webhook deaktiviert.

{
    "id": "8f2c3a1e-5b7d-4c1a-9e2f-0a1b2c3d4e5f",
    "event": "absence.requested",
    "created_at": "2026-10-28T09:15:00+01:00",
    "data": {
        "id": "01a1…",
        "employee_id": "01a0…",
        "absence_type_id": "01a0…",
        "start_date": "2026-11-02",
        "end_date": "2026-11-06",
        "half_day_start": false,
        "half_day_end": false,
        "days": 5,
        "status": "pending"
    }
}

$header = $_SERVER["HTTP_X_FLOOWA_SIGNATURE"] ?? "";
parse_str(str_replace(",", "&", $header), $parts);
$body = file_get_contents("php://input");
$expected = hash_hmac("sha256", $parts["t"] . "." . $body, $secret);

if (! hash_equals($expected, $parts["v1"] ?? "") || abs(time() - (int) $parts["t"]) > 300) {
    http_response_code(400);
    exit;
}

Alle Ereignisse in verständlichen Worten