Dieser Leitfaden richtet sich an IT- und Sicherheitsteams, die Bliros Integration mit HubSpot evaluieren. Er behandelt das Authentifizierungsmodell, die Berechtigungen, die Bliro bei der Zustimmung anfordert und wie Bliro Berechtigungen auf Tool-Ebene über seine KI-Agenten durchsetzt.

Überblick

Bliro verbindet sich mit HubSpot über benutzerdelegiertes OAuth 2.0. Bliro handelt im Namen des angemeldeten Benutzers und kann keine Aktion in HubSpot ausführen, die der Benutzer selbst nicht ausführen dürfte. Die Integration wird über Bliros öffentliche HubSpot-App bereitgestellt.

Name der öffentlichen App: Bliro - AI for your Meetings

So funktioniert die Integration

Wenn ein Benutzer HubSpot in Bliro verbindet, passiert Folgendes:

Bliro initiiert eine OAuth-2.0-Autorisierungsanfrage an app.hubspot.com/oauth/authorize.
Der Benutzer meldet sich bei HubSpot an, wählt das zu verbindende HubSpot-Konto aus und genehmigt die angeforderten Scopes.
HubSpot stellt einen Access Token und einen Refresh Token aus, die an den Benutzer, die Bliro-App und das ausgewählte HubSpot-Konto gebunden sind.
Bliro verwendet den Access Token, um die HubSpot-CRM-API im verbundenen Konto im Namen des Benutzers aufzurufen.
Wenn der Access Token abläuft, erneuert Bliro diesen automatisch über den Refresh Token, bis der Benutzer die Verbindung trennt oder ein Administrator die App deinstalliert.

Alle HubSpot-Anfragen unterliegen der Identität und den HubSpot-Benutzerberechtigungen des Benutzers. Bliro besitzt niemals Integrations- oder Anwendungscredentials für das HubSpot-Konto des Benutzers.

Voraussetzungen

Der Benutzer hat Zugang zum entsprechenden HubSpot-Konto und verfügt über die HubSpot-Benutzerberechtigungen, die für die CRM-Objekte erforderlich sind, die Bliro lesen oder schreiben soll (Kontakte, Unternehmen, Deals, Tickets usw.).
Dein HubSpot-Konto erlaubt die Installation der öffentlichen Bliro-App. Falls dein HubSpot-Super-Admin eingeschränkt hat, wer Apps installieren darf, muss ein Administrator dem Benutzer die Berechtigung erteilen (oder die App kontoweit installieren), bevor der Benutzer den OAuth-Flow abschließen kann.
Der Benutzer ist bei Bliro angemeldet.

Einrichtung: Bliro mit HubSpot verbinden

Öffne in Bliro die Integrationen und wähle HubSpot aus.
Klicke auf Verbinden. Bliro leitet dich zur HubSpot-Anmeldeseite weiter.
Melde dich mit deinen HubSpot-Zugangsdaten an und wähle das HubSpot-Konto aus, das du verbinden möchtest.
Prüfe die angeforderten Berechtigungen und genehmige die Verbindung. Die angeforderten Berechtigungen sind im nächsten Abschnitt detailliert aufgeführt.
Bliro leitet dich zurück zur Integrationsseite.
Konfiguriere die Tools & Berechtigungen, die Bliro in deinem Namen verwenden darf.

Angeforderte Berechtigungen (OAuth-Scopes)

Bei der Zustimmung fordert Bliro die folgenden neun Scopes für die HubSpot-Integration an. Jeder ist unten mit seinem Zweck und seiner Begründung aufgeführt.

Scope	Begründung
`oauth`	Der grundlegende HubSpot-OAuth-Scope. Erforderlich für die OAuth-2.0-Authentifizierung mit HubSpot und zur Identifizierung der Benutzer-App-Zuordnung innerhalb des verbundenen HubSpot-Kontos. Gewährt allein keinen zusätzlichen Datenzugriff.
`crm.objects.companies.read`	Liest Unternehmensdaten. Wird verwendet, um den Benutzer vor einem Meeting über den Unternehmenskontext zu informieren und um im Gespräch erwähnte Unternehmensnamen dem richtigen Unternehmen zuzuordnen. Nur Lesezugriff.
`crm.objects.companies.write`	Erstellt und aktualisiert Unternehmensdaten. Erforderlich für die Tools „Unternehmen erstellen" und „Unternehmen aktualisieren" - zum Beispiel um ein neues Konto zu erfassen, das während eines Meetings genannt wurde, oder um die Eigenschaften eines Unternehmens nach einem Anruf zu aktualisieren. Bliro kann keine Datensätze erstellen oder ändern, die die eigenen HubSpot-Berechtigungen des Benutzers nicht zulassen würden.
`crm.objects.contacts.read`	Liest Kontaktdaten. Wird verwendet, um den Benutzer vor einem Meeting über einen Kontakt zu informieren und um im Gespräch erwähnte Namen dem richtigen Kontakt zuzuordnen. Nur Lesezugriff.
`crm.objects.contacts.write`	Erstellt und aktualisiert Kontakt. Erforderlich für die Tools „Kontakt erstellen" und „Kontakt aktualisieren" - zum Beispiel um einen neuen Kontakt zu erfassen, der während eines Meetings genannt wurde, oder um die Rolle eines Kontakts nach einem Anruf zu aktualisieren.
`crm.objects.deals.read`	Liest Deal-Datensätze. Wird verwendet, um offene Deals und die Pipeline-Phase vor einem Kundentermin anzuzeigen und um Deal-Kontext in die Nachbereitung nach dem Meeting einfließen zu lassen. Nur Lesezugriff.
`crm.objects.deals.write`	Erstellt und aktualisiert Deal-Datensätze. Erforderlich für die Tools „Deal erstellen" und „Deal aktualisieren" - zum Beispiel um eine neue Opportunity zu erstellen, die während eines Discovery Calls identifiziert wurde, oder um die Deal-Phase nach einem Meeting weiterzuführen.
`crm.objects.owners.read`	Liest HubSpot-Owner-Daten (HubSpot-Benutzer, die CRM-Objekten zugewiesen werden können). Ermöglicht Bliro, einen namentlich erwähnten Owner dem richtigen HubSpot-Benutzer zuzuordnen, wenn Datensätze zugewiesen werden, und neu erstellte Datensätze korrekt zuzuordnen. Nur Lesezugriff.
`tickets`	Bietet Lese- und Schreibzugriff auf HubSpot Service Hub Tickets. Wird verwendet, um vor einem Kundentermin offene Tickets anzuzeigen und um Tickets zu erstellen oder zu aktualisieren, wenn der Benutzer dies explizit über ein konfiguriertes Tool anfordert. Wie bei allen Schreibvorgängen werden die HubSpot-Berechtigungen des Benutzers bei jedem Aufruf angewendet.

Tools und Berechtigungen

Auch wenn die CRM-Scopes gewährt wurden, führt Bliro standardmäßig keine HubSpot-Operation aus. Jede einzelne Aktion, die Bliro ausführen kann - zum Beispiel „Kontakt lesen", „Unternehmen erstellen" oder „Deal aktualisieren" - ist als Tool mit einer eigenen Berechtigungsstufe modelliert, die von einem Organisationsadministrator konfiguriert wird.

Für HubSpot können Administratoren auch benutzerdefinierte Tools erstellen, indem sie ein beliebiges HubSpot-CRM-Objekt auswählen. Bliro generiert dann automatisch die entsprechenden Tools zum Lesen, Erstellen und Aktualisieren.

Eine vollständige Erklärung des Tool-Modells, der Berechtigungsstufen, des „Um Erlaubnis fragen"-Flows und wie Bliro verweigerte Tools durchsetzt, findest du unter KI-Tools und Berechtigungen.

Sicherheitsaspekte

Ausschließlich benutzerdelegiert. Bliro besitzt niemals ein Integrations- oder Anwendungscredential für dein HubSpot-Konto. Jeder API-Abruf wird als der Benutzer authentifiziert, und HubSpot wendet die Berechtigungen, Teammitgliedschaft und - sofern lizenziert - den Zugriff auf Eigenschaftsebene bei jeder Anfrage an.
Token-Speicherung. Refresh Tokens werden verschlüsselt gespeichert. Access Tokens werden nur für die Dauer eines Vorgangs gehalten.
Nachvollziehbarkeit in HubSpot. Da Bliro als der Benutzer agiert, wird jeder Lese- und Schreibvorgang dem jeweiligen Benutzer in HubSpot zugeordnet (Eigenschaften „Erstellt von" / „Zuletzt geändert von", Eigenschaftsverlauf und - sofern lizenziert - Kontoaktivitätsverlauf), sodass Aktivitäten über die nativen HubSpot-Werkzeuge überprüfbar sind.
Sicherheitsrichtlinien auf Kontoebene. Alle Sicherheitsrichtlinien auf Kontoebene, die dein HubSpot-Super-Admin durchsetzt (SSO, 2FA, Sitzungseinstellungen und IP-Allowlisting, sofern verfügbar), gelten gleichermaßen für Bliros Aufrufe.

Verbindung trennen und Zugriff widerrufen

Benutzer können HubSpot jederzeit über den Integrationsbildschirm in Bliro trennen, indem sie auf Trennen klicken. Dadurch wird der Refresh Token auf Bliros Seite gelöscht und Bliros Möglichkeit, HubSpot im Namen des Benutzers aufzurufen, beendet.

Zusätzlich kann ein HubSpot-Administrator Bliros Zugriff kontoweit widerrufen über Einstellungen → Integrationen → Verbundene Apps, wo die Bliro-App deinstalliert oder der Zugriff entfernt werden kann.