APIs

Was APIs sind

APIs sind festgelegte Anschlussstellen, über die ein Programm Daten und Funktionen eines anderen Programms nutzen kann, ohne dessen Innenleben zu kennen. Die Abkürzung steht für Application Programming Interface. Der Anbieter legt fest, welche Anfragen zulässig sind und in welcher Form die Antwort zurückkommt. Beide Seiten tauschen die Daten direkt aus, ohne Benutzeroberfläche und ohne Zutun eines Menschen.

Wie ein Aufruf abläuft

Eine Website und eine Web-API beantworten dieselbe Frage unterschiedlich. Die Website liefert eine fertig gestaltete Seite fürs Auge, die Schnittstelle liefert die reinen Daten in einem maschinenlesbaren Format, meist JSON. Damit arbeitet ein anderes Programm sofort weiter, ohne Umweg über die Darstellung. Welche Bauart dahintersteckt, bestimmt der Anbieter. REST folgt dem Aufbau des Web und ist heute die Regel, das ältere SOAP ist strenger geregelt und in großen Konzernlandschaften weiterhin verbreitet. Beide legen offen, welche Angaben eine Anfrage enthalten muss und welche Antwort bei einem Fehler zurückkommt. Koppeln viele Systeme dauerhaft aneinander, übernimmt eine Middleware die Vermittlung dazwischen.

Typische Einsatzfelder

Im Sprachgebrauch sind fast immer Web-APIs gemeint, also Anschlussstellen, die über das Internet erreichbar sind. Der Kartenausschnitt auf einer Firmenwebsite, die Sendungsverfolgung im Onlineshop und die Anmeldung über ein bestehendes Nutzerkonto laufen jeweils über eine fremde Schnittstelle dieser Art. Weniger sichtbar, aber zahlenmäßig größer sind die internen Schnittstellen innerhalb einer einzigen Anwendung. Sie verbinden deren Bausteine und ersparen es, dieselbe Funktion für Website und App getrennt zu bauen. Auch im Zusammenspiel mehrerer Fachverfahren halten sie Daten aktuell, statt sie nachts als Datei zu übertragen. Ob eine Schnittstelle öffentlich oder nur intern erreichbar ist, entscheidet dabei nicht über ihre Bauart, sondern über die Rechte, die an ihr hängen.

Abhängigkeit vom Anbieter

Eine fremde Schnittstelle ist eine Zusage, kein Besitz. Ändert der Betreiber die Bedingungen, verkürzt die Laufzeiten oder stellt den Zugang auf ein Bezahlmodell um, verliert jede darauf aufgebaute Anwendung ihre Grundlage. Zu jeder Einbindung gehört deshalb die Frage, was passiert, wenn die Quelle wegfällt, und wie lange sich der Betrieb ohne sie halten lässt. Nach außen geöffnete Anschlussstellen sind zugleich ein Einfallstor, weshalb Authentifizierung und Rechtevergabe zur API-Sicherheit gehören und nicht zur Kür. Wer eine Schnittstelle veröffentlicht, legt außerdem fest, wie viele Anfragen ein Konto je Minute stellen darf. Diese Begrenzung schützt den Betrieb vor Überlast und macht die Nutzung planbar.