Es gibt keinen „API Key“-Button – der Key steckt in der Download-URL von Create-a-Feed
Du willst Awin-Produktfeeds automatisiert abrufen und startest ein Skript.
Das Skript fragt nach dem API-Key für den Produkt-Feed.
Alles klar. Bei Awin anmelden, Toolbox öffnen, Create-a-Feed aufrufen.
Nur: Ein offensichtlicher API-Key ist nirgends zu sehen.
Kein großer „API Key“-Button. Kein „Credentials“-Kasten. Kein „Secret“-Feld.
Stattdessen sieht man Produktzahlen, Kategorien, Advertiser, Brands und „Feed List Download“.
Die völlig normale Reaktion lautet:
Woher soll man das bitte wissen?
Noch besser: Die Skriptanleitung sagt, man solle im Download-Link den Wert direkt hinter /apikey/ kopieren.
In der aktuell angezeigten URL kommt /apikey/ aber gar nicht vor.
Damit beginnt die interne Störungskonferenz:
„Falsche Seite?“ „Fehlende Berechtigung?“ „Andere API?“ „Was ist diese riesige URL?“ „Warum warnt jetzt auch noch Node.js?“ „Ist alles gleichzeitig kaputt?“
Nein.
Der data feed API key für Awin-Produktfeeds ist vom normalen Partner-API-Token getrennt. Die offizielle Awin-Dokumentation erklärt, dass der Feed-Key aus einem Standard-Feed-Download von Create-a-Feed bezogen werden kann. In einem im Oktober 2026 beobachteten aktuellen UI-Muster erschien der Key jedoch ohne eigenes Label direkt als Pfadsegment in der Feed-List-Download-URL.
Schatzsuche, nur dass der Schatz ein Zugangsschlüssel ist.
0. Die 30-Sekunden-Version
Sechs Punkte reichen.
- Awin hat Zugangsdaten für die Partner API und einen separaten data feed API key für Produktfeeds.
- Beides ist nicht dasselbe.
- Laut offizieller Dokumentation stammt der Feed-Key aus einem Standard-Download von Create-a-Feed.
- Das offizielle Beispiel verwendet die Form /apikey/KEY.
- In der im Oktober 2026 beobachteten Oberfläche nutzte Feed List Download eine andere URL-Struktur, bei der der Key nach der publisher ID stand.
- Node.js DEP0190 ist eine separate Warnung und kein Nachweis dafür, dass der Awin-Key falsch ist.
Der Key fehlt also nicht zwingend.
Er kann einfach ohne Beschriftung dort stehen.
1. Was tatsächlich passiert ist
Das Einrichtungsskript zeigte bereits registrierte Secrets nur mit Namen an und fragte anschließend nach fehlenden Werten.
Der normale Awin-API-Token war vorhanden.
Danach wurde der Product-Feed-Key verlangt.
Die Anleitung lautete:
„Toolbox → Create-a-Feed → Download-URL ansehen → den Teil hinter /apikey/ kopieren.“
Diese Anleitung hat eine reale Grundlage.
Awin zeigt in der am 31. August 2026 aktualisierten Dokumentation Product Feed List Download ein Beispiel im Format /apikey/KEY und erklärt, dass der download API key aus einem Standard-Feed-Download von Create-a-Feed gewonnen werden kann.
Außerdem steht dort ausdrücklich, dass dieser Key nicht derselbe ist wie der Key für die Partner API.
Das Konzept stimmte.
Die konkrete URL im UI war die Falle.
2. Die Anleitung sagt /apikey/, aber /apikey/ existiert nicht
Nach dem Entfernen aller privaten Daten und des echten Keys sah das beobachtete Muster ungefähr so aus:
https://ui.awin.com/productdata-darwin-download/publisher///1/feedList
Der entscheidende Punkt:
Kein /apikey/.
Anleitung: „Direkt hinter /apikey/.“
Realität: „/apikey/ hat heute frei.“
Im beobachteten Fall war die Reihenfolge:
publisher/ → publisher ID → data feed API key → 1/feedList
Das sollte als im Oktober 2026 beobachtetes UI-Muster verstanden werden, nicht als Garantie für alle zukünftigen Awin-URLs.
3. Die eigentliche Verwirrung: zwei verschiedene Zugangsdaten
Zugangsdaten für die Partner API
Für die allgemeine Authentifizierung an der Awin Partner API.
Product feed data key
Für Produktfeed-Downloads und Feed-Listen.
Awin unterscheidet beide ausdrücklich in der Dokumentation.
Daher ist die Frage „Das Awin-API-Token ist schon gesetzt, warum brauche ich noch einen Key?“ vollkommen nachvollziehbar.
Weil es tatsächlich ein anderer ist.
Etwas unterschiedlichere Namen hätten vielen Menschen einige Debugging-Runden erspart.
4. Wo man in der aktuellen Oberfläche schauen sollte
Für das im Oktober 2026 beobachtete Muster:
- Bei Awin anmelden.
- Toolbox → Create-a-Feed öffnen.
- Feed List Download finden.
- Prüfen, dass der Link wirklich zu einer offiziellen Awin-Domain gehört.
- Die komplette URL nicht in öffentliche Chats, Artikel, Issues oder Logs kopieren.
- Bei derselben beobachteten Struktur ist das Pfadsegment direkt nach publisher// der data feed key.
- Nur den benötigten Secret-Wert in die maskierte Skripteingabe einfügen.
- Wenn beim Tippen nichts sichtbar ist, kann das normales Verhalten eines Secret-Prompts sein; mit Enter fortfahren.
Punkt fünf ist besonders wichtig.
Auch eine lange URL kann Zugangsdaten enthalten.
Ein geheimer Wert hört nicht auf, geheim zu sein, nur weil er zwischen Schrägstrichen versteckt ist.
5. Und was sollte DEP0190 plötzlich dort?
Das Terminal kann gleichzeitig melden:
DEP0190: Passing args to a child process with shell option true...
Perfektes Timing, um alles miteinander zu verwechseln.
Laut Node.js-Dokumentation bezieht sich DEP0190 jedoch auf execFile oder spawn, wenn ein Argument-Array zusammen mit shell:true verwendet wird. Die Argumente werden dabei nicht sicher escaped, wodurch ein Shell-Injection-Risiko entstehen kann.
Daher gilt:
Das ist kein Awin-Authentifizierungsfehler.
Die Warnung sollte trotzdem separat im Skript behoben werden: Ist shell:true wirklich nötig? Können benutzergesteuerte Werte in diese Shell-Argumente gelangen?
Aber sie beweist nicht, dass der Product-Feed-Key falsch ist.
6. Die Anleitung reparieren, nicht den Menschen
„Die Nutzer sollen URLs genauer lesen“ ist keine belastbare Lösung.
Ein guter Setup-Helper sollte:
- das dokumentierte Muster /apikey/ erkennen;
- zusätzlich das beobachtete Muster productdata-darwin-download/publisher///... erkennen;
- den gefundenen Key niemals erneut ausgeben;
- die vollständige URL mit Zugangsdaten niemals loggen;
- bei unbekannter Struktur abbrechen statt raten;
- früh erklären, dass Product Feed key und Partner API token zwei verschiedene Zugangsdaten sind.
So wird die Verwirrung systematisch verhindert.
7. Fazit
Das Ganze war aus objektiven Gründen verwirrend:
- zwei ähnlich benannte Awin-Zugangsdaten;
- kein offensichtliches separates Feld für den Feed-Key;
- Dokumentationsbeispiele, die nicht zwingend wie die aktuelle UI-URL aussehen;
- ein geheimer Wert mitten in einer langen URL;
- eine unabhängige Node.js-Warnung im denkbar ungünstigsten Moment.
Man musste es beim ersten Mal also wirklich nicht sofort erkennen.
Für das nächste Mal reicht:
Product Feed key ≠ Partner API token. In Create-a-Feed die Download-URL prüfen und niemals eine einzelne historische URL-Form als ewige Regel behandeln.
Und die echte URL danach nicht veröffentlichen.
Das ist der Endgegner.
Sources
- [1] Awin Help — Product Feed List Download, 2026-08-31: https://help.awin.com/developers/docs/product-feed-list-download
- [2] Awin Help — Downloading feeds using Create-a-Feed, 2026-08-31: https://help.awin.com/developers/docs/downloading-feeds-using-create-a-feed
- [3] Awin Help — Product Feed Publisher Guide Overview: https://help.awin.com/developers/docs/product-feed-publisher-guide-intro
- [4] Node.js documentation — DEP0190: https://nodejs.org/download/release/latest-jod/docs/api/deprecations.html
Quellen (4)
- Awin Help — Product Feed List Download, 2026-08-31 help.awin.com
- Awin Help — Downloading feeds using Create-a-Feed, 2026-08-31 help.awin.com
- Awin Help — Product Feed Publisher Guide Overview help.awin.com
- Node.js documentation — DEP0190 nodejs.org
