Twitch- und Kick-OAuth-Fragen, beantwortet.
Twitch- und Kick-OAuth haben einige Teile. Diese werden am häufigsten gefragt: Scopes, Speicherung, Ablauf und Widerruf. Fragen 2–15 betreffen Twitch; 16–20 betreffen Kick. Noch festgefahren? Schreib an support@cpwgamestools.com.
Was macht diese Seite eigentlich?
CPWGames Tools erstellt OAuth-Tokens und durchsucht Emotes für Twitch und Kick. Die Twitch-Seite nutzt den impliziten Flow für einen langlebigen Browser-Token; die Kick-Seite nutzt OAuth 2.1 mit PKCE und einem serverseitigen erneuerbaren Token.
Jede Plattform hat ihr eigenes Dashboard für Scopes, Erneuerung und Widerruf. Die Emote-Suche benötigt kein Konto und meldet dich nicht an.
Welche Scopes werden angefordert?
Die Token-Seite verwendet einen festen Basissatz: Kanaldetails, Chat lesen/schreiben, Kanalpunkte, Abonnements und Creator-Ziele, Raids, Bot-Zugriff und Emotes. Kanalname und Login stammen aus dem OAuth-Profil und benötigen keinen separaten Scope.
Es gibt keinen vollständigen Scope-Auswähler. Der Katalog bleibt intern, daher enthält die Anfrage nur die grundlegenden Scopes, die dieses Tool tatsächlich aufruft.
Warum muss ich mich mit Twitch anmelden?
Ein Benutzer-Access-Token gehört zu einem Twitch-Konto und handelt in dessen Namen. Twitch stellt eines erst aus, nachdem der Kontoinhaber sich angemeldet und die Anfrage genehmigt hat; der Anmeldebildschirm gehört daher Twitch.
Wir sehen dein Twitch-Passwort nie, und ohne deine Zustimmung wird kein Token erzeugt.
Wo wird mein Token gespeichert?
Der langlebige Token aus dem Button „Twitch verbinden“ wird von dieser Seite nicht gespeichert. Twitch gibt ihn im URL-Fragment zurück, die Seite liest ihn aus, und er bleibt nur in deinem Browser. Das URL-Fragment wird nach dem Auslesen gelöscht.
Der separate, erneuerbare Dashboard-Flow speichert seinen Token serverseitig in einer geschützten JSON-Datei (storage/tokens.json standardmäßig), die nur der Webserver-Benutzer lesen kann.
Wie lange hält ein Access-Token?
Der Button „Twitch verbinden“ nutzt den impliziten Grant von Twitch, der einen Benutzer-Access-Token direkt an deinen Browser zurückgibt. Er hält normalerweise etwa 60 Tage, kann aber nicht erneuert werden: Wenn er abläuft oder widerrufen wird, verbinde dich erneut. Der Authorization-Code-Flow von Twitch, den das Dashboard nutzt, liefert etwa vier Stunden gültige Tokens mit einem Refresh-Token.
Was passiert, wenn er abläuft?
Der langlebige Token funktioniert nicht mehr und API-Aufrufe geben HTTP 401 zurück. Er hat keinen Refresh-Token, also verbinde dich erneut, um einen neuen zu erhalten. Wurde der Token widerrufen oder die App in den Twitch-Einstellungen getrennt, gilt dasselbe.
Der kürzere Authorization-Code-Token des Dashboards ist anders: Er kann mit seinem Refresh-Token erneuert werden, bis dieser widerrufen wird oder abläuft.
Warum habe ich nicht alle angeforderten Scopes erhalten?
Twitch erteilt, was das angemeldete Konto erteilen darf. Moderator-Scopes erfordern, dass du tatsächlich Moderator im Zielkanal (oder der Broadcaster) bist, einige Scopes benötigen eine genehmigte oder verifizierte Anwendung, und rollenbegrenzte Scopes gelten nicht für das falsche Konto.
Die Ergebnisseite listet die erteilten Scopes auf, sodass du genau siehst, was passiert ist.
Kann ich diesen Token für einen Bot verwenden?
Ja — melde dich mit dem Bot-Konto an. Der Basissatz enthält chat:read, chat:edit, user:bot und channel:bot sowie die Kanal-Scopes für Punkte, Abonnements, Ziele und Raids.
Ein Token ist immer an das Konto gebunden, das ihn autorisiert hat. Der Token eines Kanals kann daher nicht als sein Bot handeln und umgekehrt.
Kann ich alle Scopes anfordern? Ist das erlaubt?
Laut Twitch-Richtlinie sollte eine Anwendung nur die Scopes anfordern, die sie benötigt, und Twitch kann Anwendungen sperren, die mehr als nötig anfordern.
Dieses Tool verwendet einen festen Basissatz ohne vollständigen Scope-Auswähler. Das hält die Anfrage minimal; für einen normalen Bot müssen nicht alle Scopes angefordert werden.
Wie widerrufe ich einen Token?
Der langlebige Token wird von dieser Seite nicht gespeichert, es gibt also lokal nichts zu löschen. Entferne die Anwendung manuell in Twitch unter Einstellungen → Verbindungen, um ihn zu widerrufen.
Dashboard-Tokens können mit dem Button „Zugriff widerrufen“ widerrufen werden. Er ruft den /oauth2/revoke-Endpunkt von Twitch auf und löscht den lokalen Datensatz sofort.
Brauche ich eine eigene Twitch-Anwendung?
Nein. Der Seitenbetreiber registriert eine Twitch-Anwendung, deren Client-ID und Secret in .env auf dem Server liegen. Du meldest dich einfach an.
Wenn du CPWGames Tools selbst hostest, erstelle deine eigene App in der Twitch-Entwicklerkonsole und registriere .../callback.php als Redirect-URL.
Wohin geht das Client-Secret?
Nur in .env auf dem Server, als TWITCH_CLIENT_SECRET. Es wird nie in HTML gerendert, nie an den Browser gesendet und sollte niemals in ein Repository eingecheckt werden.
Öffne in der Twitch-Entwicklerkonsole deine Anwendung und wähle Neues Secret, um eines zu erzeugen.
Welche Daten speichert ihr?
Der lange Connect-Flow sendet den Token nicht an den Server und speichert ihn nicht. Der separate Dashboard-Flow speichert deine Twitch-Benutzer-ID, deinen Login, Anzeigenamen, Avatar-URL, E-Mail (nur wenn erteilt), das Token-Paar, Scope-Listen und Zeitstempel.
Sitzungen dauern 14 Tage. Dashboard-Token-Datensätze, die 30 Tage nicht verwendet wurden, werden automatisch gelöscht; ein Widerruf löscht deinen sofort. Die Datenschutzerklärung enthält alle Details.
Funktioniert es auf dem Handy?
Ja. Das Layout ist responsiv und die Zustimmungsseiten von Twitch und Kick funktionieren in mobilen Browsern. Einen Token zu kopieren ist mit der Desktop-Zwischenablage einfacher, aber die Dashboards zeigen immer auswählbaren Text.
Ist das mit Twitch verbunden?
Nein. CPWGames Tools ist ein unabhängiges Tool und weder mit Twitch Interactive, Inc., Amazon.com, Inc. noch Kick verbunden oder von ihnen unterstützt. Twitch und Kick sind Marken ihrer jeweiligen Eigentümer.
Unterstützt CPWGames Tools Kick-OAuth?
Ja. Öffne das OAuth-Menü und wähle Kick-OAuth, oder gehe direkt zu /authorize.php?platform=kick. Kick verwendet OAuth 2.1 mit PKCE, State-Prüfung und einem separaten serverseitigen Token-Speicher.
Kick- und Twitch-Sitzungen sind unabhängig. Du kannst eine Plattform oder beide auf derselben Website verbinden.
Welche Scopes fordert Kick an?
Die Kick-Autorisierungsseite fordert user:read, channel:rewards:read, channel:rewards:write, chat:write und events:subscribe an.
user:read lädt dein Kick-Profil. Die Prämien-Scopes decken Channel Points ab, chat:write den Chat und events:subscribe Chat-, Follow-, Abo- und Geschenk-Ereignisse. Kick entscheidet, was erteilt wird.
Wie lange gilt ein Kick-Token?
Kick-Access-Tokens sind kurzlebig, meist zwei Stunden. Der Refresh-Token ist die längerlebige Credential und nutzt ein gleitendes 30-Tage-Fenster; jede erfolgreiche Erneuerung setzt es zurück.
Das Kick-Dashboard zeigt den 30-Tage-Refresh-Token; der Zwei-Stunden-Access-Token bleibt serverseitig und wird automatisch erneuert. Wenn der Refresh-Token abläuft oder widerrufen wird, verbinde Kick erneut.
Wo werden Kick-Tokens gespeichert?
Kick-Tokens werden getrennt von Twitch-Tokens in einer geschützten JSON-Datei (storage/kick_tokens.json standardmäßig) gespeichert, indiziert nach Kick-Benutzer-ID.
Das Kick-Dashboard kann sie erneuern oder widerrufen. Das Dashboard zeigt den Refresh-Token; der Access-Token bleibt serverseitig.
Kann ich die Kick-Scopes für Prämien und Chat nutzen?
Ja. Der serverseitige Access-Token kann die von Kick erteilten Scopes mit der öffentlichen Kick-API nutzen. Die Website postet keine Chat-Nachrichten und bearbeitet keine Prämien automatisch; sie liefert den Refresh-Token und ein Dashboard zur Verwaltung.
Behandle den Token als Credential und verwende ihn nur in serverseitigem Code. Lege niemals einen Kick-Refresh-Token oder Access-Token in Browser-JavaScript oder einem öffentlichen Repository ab.
Which platforms does CPWGames Tools support?
Twitch and Kick are live for OAuth and emote search. Velora emote search is live; Velora OAuth is marked coming soon until the app review is complete. ANTISLAVE app-token OAuth is ready behind server credentials, and ANTISLAVE emote search is marked coming soon because their API has no public emote catalogue yet.
Velora OAuth is controlled by VELORA_OAUTH_ENABLED. ANTISLAVE OAuth appears when ANTISLAVE_CLIENT_ID and ANTISLAVE_CLIENT_SECRET are set.
Does ANTISLAVE have emote search?
Not yet. ANTISLAVE exposes chat text containing emote tokens such as [emote:code], but not a public emote catalogue or image endpoint. The emote-search entry is visible and marked coming soon rather than showing incomplete data.
Velora is the newest live emote source. Twitch and Kick emote search remain available from the Emote search menu.
Why are Velora and ANTISLAVE marked coming soon?
Velora OAuth waits for the application review; its public emote search already works. ANTISLAVE OAuth is implemented using client credentials and stays in the coming-soon state until the server has its client ID and secret.
The status cards on the home page always show which parts of each platform are live, coming soon or waiting for credentials.
Brauchst du noch Hilfe?
Nenne deinen Twitch- oder Kick-Login und was du tun wolltest — sende niemals den Token.
Die Token-Seiten verwenden feste Scope-Sets, bewusst kleiner als die vollständige Liste jeder Plattform. Das Verhalten kann sich auf Plattformseite ändern; die Sets werden mit den Autorisierungsseiten synchron gehalten.