得られるもの
OAuthを一度設定すれば — どのBitrix24顧客のアカウントとも連携できます。
すべての顧客に1つのフロー
すべての顧客に1つのフロー
OAuthフローを一度実装すれば、どのBitrix24顧客のアカウントとも連携できます。顧客ごとに個別にWebhookを設定する必要はなく、顧客自身がワンクリックでアクセスを許可します。
標準的なOAuth — 何も再発明する必要はありません
標準的なOAuth — 何も再発明する必要はありません
Authorization Code — GoogleやGitHubと同じフローです。任意のOAuthフレームワークが使えます。CSRF対策のstate、サーバー側にとどまるシークレット（ある場合）、そしていつでも取り消せるキー。
オールオアナッシングではない、きめ細かなアクセス制御
オールオアナッシングではない、きめ細かなアクセス制御
機能に必要な範囲だけをリクエストできます：CRM、タスク、電話、ドライブ、AI。企業のセキュリティ担当者にも「Bitrix24アカウントへのフルアクセス」ではなく、具体的な権限が見えます。
内部で動くのはVibecode API
内部で動くのはVibecode API
1つのキーで300以上のVibecode APIメソッドが使えます：CRUD対応の50エンティティ、最大50件のバッチ呼び出し、MongoDB形式のフィルター、自動ページネーション。生のBitrix24 RESTではありません。
しくみ
標準的なOAuth Authorization Code — GoogleやGitHubと同じフローです。
同意画面へリダイレクト
client_id、redirect_uri、必要なスコープを付けてユーザーを /v1/connect/authorize にリダイレクトします。シークレットを持たないアプリの場合は、code_challengeも合わせて付与します。
ユーザーが承認
顧客は同意画面を確認し、Bitrix24アカウントを選択して、リクエストされた権限をまとめて承認します。
コードが返される
Alaio Vibecodeは、codeとstateパラメーターを付けて顧客をあなたのredirect_uriに戻します。
キーへの交換
あなたのサーバーがcodeを付けて POST /v1/connect/token を実行し、永続的なVibecode APIキーを受け取ります。シークレットがある場合はclient_secretを、ない場合は先述の1回限りの文字列ペアを使用します。
どんなアプリにも対応
サーバーサイドサービス、シークレットを持たないモバイルアプリ、ブラウザのないデバイス — クライアントの種類に応じてフローが変わります。
サーバーサイドサービス
従来型のフロー：シークレットはあなたのサーバー上にとどまり、ユーザーに渡ることはありません。
モバイルアプリまたはデスクトップアプリ
シークレット不要：サインインのたびに1回限りの文字列ペア（PKCEという仕組み）を生成します。リダイレクト先は任意のポートのlocalhostです。
ブラウザのないデバイス
短いコードでサインインする方式です。プラットフォームが確認済みアプリ向けに有効化します — マイページで確認をリクエストすると、それに応じてデバイスサインインも有効になります。
- キーに有効期限はありません — 取り消すまで使えます
- デフォルトで1アカウントにつき最大10アプリ
- 顧客が主導権を持ちます — プロフィールのワンクリックでアクセスを取り消せます
パートナーが構築しているもの
OAuthチャネルの代表的な3つの活用例です。
外部AIアシスタント
AIエージェントが、顧客のBitrix24アカウントの文脈を保ったまま、あなたのサービスのチャットやインターフェース内で動作します。取引・タスク・コンタクトを把握し、あなたのツールから離れることなく担当者をサポートします。
BIと分析
外部のダッシュボードが顧客のBitrix24アカウントのデータを読み取り、売上・コンバージョン・担当者の稼働状況などのカスタムレポートを作成します。データのコピーや手動エクスポートは不要です。
クロスシステム連携
Bitrix24を外部のCRM、ERP、メッセンジャー、マーケティングシステム、または顧客のTelegramボットと連携させます。1つのOAuthチャネルで、任意の数の顧客Bitrix24アカウントに対応できます。