Produkt

HTTP-API

Basis-URL https://promptflowengine.com/api/v1. JSON rein, JSON raus. Keine Authentifizierung, nichts wird gespeichert; Prompt-Text wird nie protokolliert. Jede Antwort enthält einen x-request-id-Header.

Für Massenverarbeitung oder sensible Daten führen Sie dieselbe Engine lokal mit der CLI aus: kein Netzwerk, keine Ratenlimits.

Neu bei den Integrationen? PromptFlowEngine verbinden vergleicht die Erweiterungen, MCP und diese API, mit einem getesteten TypeScript-Client und Fehlerbehebung.

Endpunkte

Methode	Pfad	Body	Liefert
GET	`/health`	—	Status, Versionen von Engine und API
GET	`/models`	—	Modellkatalog mit Kodierungen und Referenzpreisen
GET	`/rules`	—	Regelkatalog, Dimensionen, Abzüge
POST	`/analyze`	`prompt`, `model?`	Befunde, Qualität, Tokens, Sicherheit, Anforderungen, Absicht
POST	`/validate`	`prompt`	`valid` (keine kritischen Befunde), Befunde
POST	`/optimize`	`prompt`, `model?`, `mode?`, `goal?`, `tokenBudget?`	ausgewählter Kandidat, alle Kandidaten mit Verifikation, Änderungen, Diff, Differenzen, Vorschläge
POST	`/restructure`	`prompt`, `model?`, `scaffold?`	gegliederter Prompt, die Abschnitte mit jeder Zeile als `prompt` oder `engine` gekennzeichnet, Zählungen, Analyse vorher und nachher
POST	`/compare`	`a`, `b`, `model?`	Diff, Differenzen bei Tokens, Kosten und Qualität, behobene und neu eingeführte Befunde
POST	`/tokens`	`prompt`, `model?`	Token-Zahl, Methode, Zählung pro Abschnitt, geschätzte Kosten
POST	`/scan`	`prompt`	Injection-Risiko und Signaturen, Zählungen und Positionen sensibler Daten, nicht abgegrenzte Variablen
POST	`/sanitize`	`text`	Text, in dem sensible Werte durch Platzhalter ersetzt sind

mode: conservative | balanced | structured. goal: tokens | quality | balanced. model: jede ID aus /models (Standard gpt-4.1). scaffold: boolesch, Standard true; siehe Umstrukturierung.

Authentifizierung

Es gibt keine. Die API nimmt weder Schlüssel noch Token oder Cookie an und ignoriert alles, was Sie mitsenden. Sie lässt sich bedenkenlos aus einem Browser, einem Skript oder der Chrome-Erweiterung aufrufen, weil sie keine Nutzerdaten hält, die zu schützen wären: Jede Anfrage wird aus ihrem eigenen Body berechnet und vergessen. Missbrauch wird durch das unten genannte Ratenlimit begrenzt.

Beispiel

curl

curl -s https://promptflowengine.com/api/v1/optimize \
  -H 'content-type: application/json' \
  -d '{"prompt":"Please summarize the notes. Please summarize the notes.","mode":"balanced"}' \
  | jq '{selected: .selected.text, tokenDelta, changes: [.changes[].title]}'

Mit "goal":"tokens" würde die Engine stattdessen Please summarize the notes. behalten: Ein Summarize am Satzanfang kostet zwei Tokens, dieser Kandidat ist also ein Token günstiger.

Antwort (gekürzt, echte Ausgabe)

{
  "selected": "Summarize the notes.",
  "tokenDelta": -4,
  "changes": ["Removed repeated sentences", "Removed filler and politeness phrases"]
}

Beispiel zur Umstrukturierung

curl

curl -s https://promptflowengine.com/api/v1/restructure \
  -H 'content-type: application/json' \
  -d '{"prompt":"fix login issue and make google login work and dont break anything"}' \
  | jq '{intent, topics, counts, sections: [.sections[].heading]}'

Antwort (gekürzt)

{
  "intent": "debugging",
  "topics": ["authentication"],
  "counts": { "prompt": 4, "engine": 20, "codebase": 0 },
  "sections": ["Role", "Objective", "Requirements", "Constraints", "Edge cases", "Testing", "Acceptance criteria", "Expected output"]
}

Den vollständigen Prompt finden Sie in text.

Limits

Request-Body bis 256 KB; jedes Textfeld bis 100.000 Zeichen.
60 POST-Anfragen pro Minute und Client-IP. Darüber erhalten Sie 429 mit retry-after: 60.
CORS ist ohne Zugangsdaten offen (*), Browser können die API also direkt aufrufen.

Fehler

Fehlerformat

{ "error": { "type": "invalid_request", "message": "\"prompt\" is required.", "requestId": "…" } }

Status	type
400	`invalid_request`: fehlendes oder falsch typisiertes Feld, ungültiges JSON, falscher Content-Type
404	`not_found`: unbekannter Endpunkt oder unbekannte API-Version
405	`method_not_allowed`
413	`payload_too_large`
429	`rate_limited`
500	`internal_error` (es werden keine internen Details preisgegeben)

Sicherheit

Jedes Feld wird auf seinen Typ geprüft; unbekannte Modelle, Modi und Ziele werden abgelehnt statt erraten.
Antworten tragen cache-control: no-store und eine Content Security Policy, die alles verbietet, sodass eine Antwort nie als Seite dargestellt werden kann.
Logs erfassen Route, Status, Dauer und eine Größenklasse. Prompt-Text wird nie protokolliert.
/scan und /analyze melden, wo sensible Daten stehen, nie den Wert. Verlassen Sie sich nicht darauf, dass sie auf dem Transportweg geheim bleiben: Schwärzen Sie zuerst lokal mit der CLI oder der Chrome-Erweiterung.
Der Prompt wird als Text analysiert und nie ausgeführt oder an ein Modell gesendet; eine Injection in der Eingabe kann das Verhalten der API daher nicht ändern.

Support

Fragen, höhere Limits oder ein Problem mit der API: support@promptflowengine.com. Geben Sie die Route der Anfrage und den Fehler-type an; senden Sie nie API-Schlüssel oder Prompt-Text mit Geheimnissen.