API-integration (Custom REST/GraphQL)

Hvad bruges API-integration med REST og GraphQL til? API-integration bruges til at få forskellige IT-systemer til at udveksle data og udføre handlinger automatisk.

Det kan eksempelvis være et ERP-system, der sender produktdata til en webshop. Et CRM-system kan modtage nye kunder. Et lagersystem kan sende beholdninger tilbage til webshoppen. Et økonomisystem kan modtage ordrer og betalinger.

Uden integration bliver den samme information ofte indtastet eller eksporteret manuelt mellem systemerne. En API-integration gør dataudvekslingen til en fast teknisk proces.

REST er en meget udbredt måde at bygge API'er på over HTTP. Integrationen arbejder typisk med ressourcer som kunder, produkter og ordrer gennem API-endpoints. HTTP-metoder bruges til blandt andet at hente, oprette, ændre og slette data.

GraphQL løser mange af de samme integrationsopgaver på en anden måde. Klienten sender en query og angiver præcist, hvilke felter der ønskes. Ændringer udføres typisk gennem mutations. API'ets schema beskriver, hvilke data og operationer der findes.

GraphQL kan være praktisk, når klienten skal kombinere mange relaterede oplysninger eller kun hente bestemte felter. REST er ofte enklere, når integrationen passer naturligt til tydelige ressourcer og endpoints.

I danske virksomheder bruges API-integrationer blandt andet mellem ERP, CRM, PIM, lagerstyring, webshops, økonomisystemer, betalingsløsninger og specialbyggede interne systemer. Danske webshopplatforme som Shoporama og DanDomain stiller eksempelvis API'er til rådighed for integration med andre systemer.

En custom integration bliver relevant, når der ikke findes en standardconnector, eller når virksomhedens processer ikke passer til connectorens faste regler.

API-integration er derfor ikke bare forbindelsen mellem to URL'er. En stabil løsning skal også håndtere autentificering, datamapping, fejl, dubletter, ændrede API'er og situationer, hvor et af systemerne midlertidigt er utilgængeligt.

Hvem bruger API-integrationer med REST og GraphQL? API-integrationer bruges i virksomheder, hvor flere systemer skal dele data uden løbende manuel behandling.

Backend- og fullstack-udviklere bygger ofte selve integrationen. Integrationsudviklere arbejder mere specialiseret med dataflows mellem eksisterende platforme.

Solution architects og integrationsarkitekter designer, hvilket system der ejer data, og hvordan information skal bevæge sig mellem systemerne. Det er især vigtigt i større virksomheder med mange afhængigheder.

Cloud- og platformteams arbejder ofte med API gateways, identitet, secrets, overvågning og deployment. Security-specialister bliver relevante, når integrationen håndterer følsomme data eller giver adgang til kritiske funktioner.

E-commerce-virksomheder bruger API-specialister til forbindelser mellem webshop, ERP, PIM, WMS, fragt og betalingssystemer. B2B-virksomheder bruger dem blandt andet mellem CRM, økonomi, kundesystemer og egne applikationer.

Større virksomheder bruger også API'er til at modernisere ældre systemer. Et gammelt kernesystem kan fortsat være datakilden, mens et API giver nyere applikationer en kontrolleret adgang til funktionerne.

En specialist er især relevant, når integrationen er forretningskritisk. En fejl i synkronisering af lager, priser, kunder eller ordrer kan ellers sprede forkerte data til flere systemer.

Typiske opgaver for en specialist i API-integration En af de første specialistopgaver er at forstå begge systemers datamodeller. Et felt med navnet customer i ét system svarer ikke nødvendigvis direkte til customer i det andet.

Specialisten laver derfor datamapping. Det omfatter felter, datatyper, statusværdier, ID'er og regler for, hvordan manglende eller ugyldige data skal behandles.

Autentificering er en anden central opgave. API'er kan blandt andet bruge API-nøgler, OAuth, access tokens eller andre legitimationsformer. Specialisten skal sikre, at credentials opbevares sikkert og får de nødvendige rettigheder uden unødvendig adgang.

OAuth er særligt relevant, når en applikation skal have kontrolleret adgang på vegne af en bruger eller et andet system. Valget af OAuth-flow afhænger af den konkrete arkitektur.

Fejlhåndtering er afgørende i produktion. Hvis ERP-systemet er utilgængeligt, må ordren ikke bare forsvinde. Integrationen skal kunne registrere fejlen og i relevante tilfælde prøve igen uden at skabe dubletter.

Idempotency bliver derfor vigtig ved operationer, som kan blive sendt igen. En dårlig retry-mekanisme kan ellers oprette den samme ordre, betaling eller kunde flere gange.

Rate limits er en anden praktisk udfordring. Mange eksterne API'er begrænser, hvor hurtigt en integration må sende requests. Store synkroniseringer skal derfor ofte fordeles og køres kontrolleret.

Pagination skal håndteres, når et API ikke returnerer alle poster på én gang. Fejl i pagination kan betyde, at integrationen kun henter en del af kunderne, produkterne eller transaktionerne.

Webhooks bruges, når et system selv skal fortælle integrationen, at noget er ændret. Det kan være en ny ordre eller ændret kundestatus. Specialisten skal kontrollere, validere og behandle webhook-hændelser uden at miste eller duplikere dem.

Ved REST-integrationer arbejder specialisten ofte med endpoints, HTTP-metoder, statuskoder, payloads og OpenAPI-dokumentation. OpenAPI giver en standardiseret beskrivelse af HTTP-API'er, som kan bruges til dokumentation, validering, test og generering af klientkode.

Ved GraphQL arbejder specialisten med schema, queries, mutations, variables og pagination. Fejlsøgning kan også handle om queries, som henter unødvendigt meget data eller udløser mange databaseopslag bag API'et.

GraphQL har andre performanceproblemer end traditionelle REST-integrationer. Blandt andet kan relationer mellem data skabe et såkaldt N+1-problem på serversiden. GraphQLs officielle best practices beskriver derfor særskilt performance, caching og query-begrænsning.

Versionsændringer er en klassisk specialistopgave. Et eksternt system kan udfase et endpoint eller ændre et schema. Integrationen skal tilpasses uden at stoppe forretningens dataflow.

Migration kan også handle om at erstatte filoverførsler, SOAP eller en gammel specialintegration med REST eller GraphQL. Her skal gammel og ny løsning ofte køre kontrolleret, mens data og resultater sammenlignes.

Overvågning er nødvendig efter idriftsættelse. Specialisten opsætter typisk logning af requests, fejl og integrationshændelser. Forretningskritiske fejl skal kunne opdages uden at vente på, at en medarbejder bemærker manglende data.

Sikkerhed er en del af selve integrationen. OWASP API Security Top 10 fremhæver blandt andet problemer med autentificering, adgangskontrol, ressourceforbrug, fejlagtig konfiguration og ukritisk brug af data fra andre API'er.

En robust integration skal derfor validere både data og adgang. Det er ikke sikkert at antage, at data er ufarlige, blot fordi de kommer fra et andet betroet system.

Hvordan lærer man API-integration med REST og GraphQL? Start med HTTP. En API-specialist skal forstå requests, responses, headers, HTTP-metoder, statuskoder og forskellen mellem sikre og idempotente operationer. RFC 9110 er den centrale standard for HTTP-semantik.

Derefter kan REST læres gennem praktiske API'er. Postman er et udbredt værktøj til at sende requests, håndtere autentificering, undersøge responses og opbygge tests. Postmans officielle dokumentation og Postman Academy giver praktiske læringsforløb.

OpenAPI Specification er relevant, når man arbejder professionelt med REST-lignende HTTP-API'er. Standarden beskriver, hvordan et API kan dokumenteres maskinlæsbart med endpoints, parametre, schemas og andre kontrakter.

For GraphQL er GraphQL Foundations officielle Learn GraphQL et naturligt udgangspunkt. Materialet gennemgår schemaer, typer, queries, mutations, validation, execution og introspection.

GraphQLs officielle læringsmateriale går derefter videre til områder som authorization, pagination, schema design, error handling, performance, caching og security. Det er netop disse emner, der bliver vigtige i produktionsintegrationer.

Autentificering bør læres separat. OAuth.net samler de centrale OAuth-standarder og beskriver blandt andet Authorization Code, PKCE, Client Credentials, access tokens og refresh tokens.

OWASP API Security Top 10 er relevant til den sikkerhedsmæssige del. Materialet er udviklet til blandt andet udviklere, arkitekter og sikkerhedsfolk, der bygger eller vurderer API'er.

Den bedste praktiske træning er at forbinde to rigtige testsystemer. Hent først data fra et API. Opret derefter data i et andet system. Tilføj derefter autentificering, pagination, fejlscenarier, retries og logning.

Næste trin er at simulere driftsfejl. Afbryd et system, send den samme hændelse flere gange, brug ugyldige data og lad et token udløbe. En integrationsspecialist skal kunne håndtere de situationer, hvor den normale vej ikke virker.

Der findes kurser og certificeringer til bestemte API-platforme og cloudmiljøer, men ingen enkelt leverandøruafhængig REST- eller GraphQL-certificering er et generelt krav. Praktisk erfaring, dokumentation, test og forståelse af robuste integrationsmønstre vejer normalt tungere.