# IdP-Signaturzertifikate einer Verbindung auflisten

`GET /v1/connections/{connection_id}/certificates` · Berechtigung `connections:read`

Gibt die aktiven Signaturzertifikate des Identity Providers für eine Enterprise-SAML-Verbindung zurück: ID, SHA-256-Fingerprint, Gültigkeitszeitraum und Quelle. Das Zertifikat selbst und sein Subject (das einen Namen oder eine E-Mail-Adresse einer Person enthalten kann) werden nicht zurückgegeben. Eine Verbindung hat höchstens 3 aktive Zertifikate, daher ist die Liste nicht paginiert: Es gibt keine Parameter `limit`, `after`, `before` oder `order`, und `list_metadata` enthält keinen Cursor. Gelöschte Zertifikate werden nicht aufgeführt. Lesezugriffe werden nicht auditiert.

## Anfrage

| Feld | Typ | Pflicht | Beschreibung |
|---|---|---|---|
| `connection_id` | Pfad | ja | ID der Enterprise-SAML-Verbindung (`conn_…`). |

## Antwort

`200 OK`. Eine SAML-Verbindung ohne SAML-Konfiguration liefert eine leere Liste.

```json
{
  "data": [
    {"id": "conncert_01j9xq2m4n6p8r0s2t4v6w8y0a", "sha256_fingerprint": "3b0c…", "not_before": "2026-01-01T00:00:00Z", "not_after": "2028-01-01T00:00:00Z", "source": "metadata"}
  ],
  "list_metadata": {"before": null, "after": null}
}
```

| Feld | Beschreibung |
|---|---|
| `id` | Zertifikats-ID (`conncert_…`); damit [löschen Sie das Zertifikat](delete.md). |
| `sha256_fingerprint` | Kleingeschriebener hexadezimaler SHA-256 der DER-Kodierung. Vergleichen Sie ihn mit dem Fingerprint, den Ihr Identity Provider anzeigt. |
| `not_before`, `not_after` | Gültigkeitszeitraum. Ein Zertifikat außerhalb davon verifiziert keine Signatur. |
| `source` | `metadata`: durch eine Aktualisierung der Metadaten-URL hinzugefügt; `manual`: hochgeladen oder aus einem [importierten Metadatendokument](../connections/import-metadata.md) übernommen. |

## Fehler

| HTTP | code | Wann |
|---|---|---|
| 404 | `not_found` | Die Verbindung existiert in dieser Umgebung nicht oder ist keine Enterprise-Verbindung. |
| 409 | `conflict` | Die Verbindung ist keine SAML-Verbindung. |
| 401 | `unauthenticated` | Die Anmeldedaten fehlen, sind ungültig oder widerrufen. |
| 403 | `insufficient_permissions` | Den Anmeldedaten fehlt die erforderliche Berechtigung. |
| 429 | `rate_limited` | Das Ratenlimit wurde überschritten; wiederholen Sie nach der Frist aus `Retry-After`. |
| 503 | `service_unavailable` | Eine Abhängigkeit ist vorübergehend nicht verfügbar; wiederholen Sie nach der Frist aus `Retry-After`. |

## Beispiel

```bash
curl "https://api.eu.keenauth.com/v1/connections/conn_01j9xp6q0r1s5t7v9w1x3y5z7b/certificates" \
  -H "Authorization: Bearer $KEENAUTH_SECRET_KEY"
```

```bash
keenauth connections certificates list conn_01j9xp6q0r1s5t7v9w1x3y5z7b
```