Tenderen API (v1)

Alle endepunkter er versjonert under /api/v1. Forespørsler og svar er JSON over HTTPS.

https://api.tenderen.com/api/v1

Send API-nøkkelen som Bearer-token i Authorization-headeren. Nøkler opprettes i appen under Utviklere → API-nøkler av en eier eller administrator i en bedrift på Enterprise-planen. Hele nøkkelen vises én gang; Tenderen lagrer bare en SHA-256-hash av den. Nøkler kan ha utløpsdato og kan trekkes tilbake når som helst.

curl "https://api.tenderen.com/api/v1/tenders?q=software&cpvCodes=72000000&limit=20" \
  -H "Authorization: Bearer $TENDEREN_API_KEY"

Tilganger (scopes)

Hver nøkkel har en liste med tilganger. Nye nøkler er skrivebeskyttet som standard (tenders:read). Kall til et endepunkt nøkkelen mangler tilgang til, gir 403 INSUFFICIENT_SCOPE.

Stiene er relative til basis-URL-en. Kolonnen for tilgang viser hva nøkkelen må ha.

Listeendepunkter tar page (fra 1) og limit (1–100, standard 20) og returnerer et pagination-objekt med page, limit, total og pages. GET /tenders tar i tillegg q, cpvCodes og regions (kommaseparert), status, source, minValue, maxValue, deadlineBefore, deadlineAfter, sort (publishedAt, deadline eller estimatedValue) og order (asc eller desc).

{
  "success": true,
  "data": [ { "id": "…", "title": "…", "deadline": "…" } ],
  "pagination": { "page": 1, "limit": 20, "total": 412, "pages": 21 }
}

Feil returnerer success: false med en lesbar error og en maskinlesbar code.

{
  "success": false,
  "error": "Insufficient permissions. Required scope: bids:write",
  "code": "INSUFFICIENT_SCOPE"
}

Hver API-nøkkel kan som standard gjøre 1 000 forespørsler per time (grensen lagres per nøkkel). Går du over, får du 429 RATE_LIMIT_EXCEEDED; vent til timevinduet nullstilles. MCP-endepunktet har en egen grense på 1 000 forespørsler per time per token.

Status: du kan registrere, liste og slette webhook-endepunkter i dag, men levering av hendelser er ikke i drift ennå — det sendes foreløpig ingen hendelser til registrerte endepunkter. Formatet under er det leveringene vil bruke. Hent data fra REST-API-et (for eksempel GET /alerts/notifications/list) til levering er på plass.

Registrer et HTTPS-endepunkt med POST /webhooks og velg hendelsene du vil ha. Svaret inneholder en signeringsnøkkel som bare vises én gang.

Hendelser

• tender.new — Et nytt anbud passer ett av varslene dine.
• tender.deadline — Fristen for et anbud du følger nærmer seg.
• tender.awarded — Et anbud du følger er tildelt.
• bid.submitted — Et tilbud ble markert som levert.
• bid.status_changed — Et tilbud endret status.
• alert.triggered — Et varsel ga nye treff.

Verifisere signaturer

Hver levering er en POST med JSON-kroppen {event, data, timestamp, webhookId} og headerne X-Tenderen-Event, X-Tenderen-Delivery og X-Tenderen-Signature. Signaturen er sha256= etterfulgt av heksadesimal HMAC-SHA256 av den rå forespørselskroppen, med signeringsnøkkelen som nøkkel. Sammenlign i konstant tid før du stoler på innholdet.

import crypto from 'node:crypto';

function isValidTenderenSignature(rawBody, signatureHeader, secret) {
  const expected =
    'sha256=' + crypto.createHmac('sha256', secret).update(rawBody).digest('hex');
  const a = Buffer.from(signatureHeader ?? '');
  const b = Buffer.from(expected);
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

En levering som feiler, eller ikke svarer med 2xx-status innen 10 sekunder, forsøkes opptil to ganger til: etter 1 minutt og etter 5 minutter. Leveringshistorikken hentes fra GET /webhooks/:id/deliveries.

Tenderen kjører en ekstern Model Context Protocol-server, slik at KI-assistenter som Claude, ChatGPT og Cursor kan søke i anbud, vurdere egnethet, følge opp pipelinen, skrive tilbudsutkast og spørre anbudsdokumentene på dine vegne — 18 verktøy, med lesetilgang som standard og skriving, innsending og sletting som egne valg på samtykkeskjermen. Koble til med OAuth (autorisasjonskode med PKCE; dynamisk klientregistrering støttes) eller med en API-nøkkel som Bearer-token. Verktøy som ikke kan angres, forhåndsvises først og krever bekreftelse. Hvert kall vises under Utviklere → AI-koblinger, der koblinger kan testes og trekkes tilbake.

MCP-endepunkt (Streamable HTTP)

https://tenderen.com/api/mcp

Eldre endepunkt (HTTP+SSE)

https://tenderen.com/api/mcp/sse

OAuth-oppdagelse

https://tenderen.com/.well-known/oauth-authorization-server
https://tenderen.com/.well-known/oauth-protected-resource

Spørsmål om API-et eller en bestemt integrasjon: [email protected].

Sist gjennomgått 4. oktober 2026