API är ett gränssnitt, inte en filöverföring

Kort svar: API är ett gränssnitt, inte en fil

API (Application Program Interface) är ett kontrollerat gränssnitt för att överföra information. Det fungerar som en bro mellan två eller flera system, där system hämtar eller skickar data. Det är inte en fil som flyttas mellan mappar.

Filöverföring innebär att en fil skickas från ett system till ett annat. Skillnaden: API:et är en aktiv förbindelse där ett system gör ett anrop och får ett svar. Filöverföringen är en separat överföringshändelse där en färdig fil skickas.

Förenklat är API ett gränssnitt som applikationer använder för att utbyta information med varandra. Vid filöverföring sker i stället en överföringshändelse: en färdig fil skickas i väg.

Båda sätten flyttar information mellan system. Frågan är om systemet själv hämtar det det behöver, eller om det tar emot en redan skapad fil.

API-typer som REST API och SOAP API är bland de vanligare. REST-anrop går över HTTP och data skickas oftast i JSON eller XML.

Vid filöverföring finns inget aktivt anrop och inget svar. Mottagaren tar emot den skapade filen.

API som bro mellan system

Skatteverket beskriver ett API som en bro mellan exempelvis två system och som en mellanhand eller översättare. Den hjälper två parter som inte pratar samma språk att kommunicera.

Ett API består av byggstenar, så kallade endpoints. Tillsammans gör de det möjligt att skapa precisa, effektiva och komplexa lösningar för ett specifikt behov.

Tack vare API:et kan systemen prata med varandra utan att känna till varandras inre uppbyggnad. e-identitet formulerar samma sak: ni behöver bara känna till vilka anrop som finns och vilken data de väntar sig, inte hur det andra systemet fungerar inuti.

Då kan system byggda i olika tekniker och av olika leverantörer samarbeta. Ett API kräver alltså att någon känner till anropen och datan de väntar sig.

Vid filöverföring finns inget anrop att känna till och inget svar att invänta. Där skickas en färdig fil.

Skatteverkets API Skattekonto gör att företagare kan se sitt saldo från skattekontot direkt i sina valda bokförings- eller redovisningsprogram.

SL delar med sig av sina tidtabeller via API. Fler aktörer kan då bygga lösningar med korrekta uppgifter direkt från källan.

Google Maps är ett Google-byggt API som hjälper miljoner människor att hitta. API:et är öppet för andra att använda och utnyttjas ofta i parkeringsappar.

e-identitet har eID API för inloggning och signering samt eAvtal API för avtalshantering. eID API:et sköter kommunikationen med BankID.

Så sker datautbytet i ett API-anrop

Ett webb-API bygger på enkla anrop och svar: ert system skickar ett anrop till en bestämd adress hos en annan tjänst och får tillbaka den data ni bad om.

Vanligast är REST, där anropen går över HTTP, samma protokoll som webbläsaren använder. Datan skickas oftast i JSON, ett textformat som är lättläst för både människor och maskiner.

Det finns flera API-typer. Skatteverket nämner REST API och SOAP API som bland de vanligare och erbjuder båda.

REST beskrivs som flexibelt och kan hantera flera typer av anrop och format, där JSON och XML är vanligast. Utvecklare anser ofta att REST API:er är enklare att implementera, förstå och felsöka. REST är skalbart på ett annat sätt än SOAP.

Vid filöverföring sker inget anrop mot en endpoint och inget svar skickas tillbaka. Där överförs en befintlig fil i en egen överföringshändelse.

Enligt Skatteverket anger API:et vilken information som får skickas mellan systemen genom fördefinierade regler. För att skydda känslig information kan API:et kräva att ni identifierar er med en API-nyckel innan systemen kan prata med varandra, vilket e-identitet gör.

API:er kan vara öppna eller stängda. Ett öppet API har publik dokumentation så att vem som helst kan bygga mot det, medan ett stängt API bara används internt eller av utvalda partner.

Skatteverkets API om arbetsgivardeklaration är ett exempel på REST API.

Vanliga API-typer och deras användning

Skillnaden i praktiken: automation, realtid och felrisk

Med API kan återkommande uppgifter skötas automatiskt, i stället för att någon loggar in i en tjänst, fyller i uppgifter och för över resultatet för hand.

e-identitet lyfter fram tre fördelar: automatisering, färre fel och system i synk i realtid. Färre fel uppstår när data flödar direkt mellan systemen och dubbelregistrering undviks. System i synk innebär att systemen håller samma information uppdaterad i realtid.

Ett avtal kan till exempel skapas automatiskt när ett nytt ärende uppstår. Skatteverket beskriver samma mönster: API:er gör att information kan överföras automatiskt och att man slipper manuell handpåläggning och den ökande risken för fel som den ofta innebär.

Realtid är en skiljelinje. API kan hålla systemen i synk i realtid, medan filöverföringen är en separat överföringshändelse utan anrop och svar.

Filöverföring är en separat överföringshändelse. Den sker inte som ett API-anrop med direkt svar.

Säkerhet och kontroll i API-flödet

IMY skriver att API-säkerhet blir allt viktigare eftersom API:er ofta exponerar personuppgifter och annan skyddsvärd information. API-säkerhet ska skydda API:er från attacker, dataläckor och missbruk och se till att endast auktoriserade personer och system får tillgång till data.

Konkreta skyddsåtgärder som nämns är autentisering och auktorisering med till exempel OAuth 2.0, JWT och MFA, inmatningsvalidering, hastighetsbegränsning, kryptering med HTTPS och TLS, säkerhetstestning samt övervakning och loggning.

Säkerhetskraven gäller API-anropet. Vid filöverföring sker inget anrop och inget svar – överföringen är en separat händelse.

Computer Sweden beskriver att API:er ofta får för stora systemrättigheter och att bristen på standarder gör att de kan innehålla sårbarheter. Enligt undersökningar från Akamai ligger API:er till grund för 75 procent av alla stölder av inloggningsuppgifter världen över.

IMY rekommenderar att säkerheten beaktas från början och under hela utvecklingsprocessen, bland annat genom att analysera designen, kodgranska, testa säkerheten och dokumentera resultaten.

OWASP Top Ten är ett dokument som syftar till att öka medvetenheten om risker, framför allt vid utveckling av webbapplikationer. Säkerhetstestning kan ske med SAST- och DAST-verktyg och API-sårbarhetsskanner.

På Sveriges Dataportal har den nationella profilen för REST API ett säkerhetsavsnitt. Där beskrivs att rätt nivå på säkerhet i API:er gör att de kan användas utan att säkerheten äventyras.

Enligt Gartner kommer 90 procent av webbenablerade applikationer att ha bredare attackytor på grund av exponerade API. T-Mobile 2021 API-brott beskrivs som ett exempel där osäkra eller överexponerade API tillät obehörig dataåtkomst.

Säkerhetsrisker kopplade till API:er

När API är rätt val – och var filöverföring kommer in

API är särskilt användbart när integrationen är återkommande och systemen ska hållas uppdaterade. e-identitet pekar på att återkommande uppgifter kan ske automatiskt, att dubbelregistrering och misstag vid manuell överföring undviks, och att systemen håller samma information uppdaterad i realtid.

Behöver ni hitta befintliga API:er i offentlig sektor finns Diggs nationella API-katalog. Där publiceras tillgängliga API:er så att de kan hittas och utforskas från ett samlat ställe.

Digg har också en API Playbook med vägledning och riktlinjer för utveckling och hantering av API:er. Där finns även en svensk REST API-profil med SKALL/BÖR/KAN-krav som stöd för interoperabla API:er.

Filöverföring kan vara ett alternativ när ett API inte finns eller inte är tillgängligt.

DCAT-AP-SE Processor gör att offentliga organisationer automatiskt kan exponera sina befintliga API:er och datamängder på Sveriges Dataportal.

Profilen för REST API i Sverige är framtagen i samverkan mellan Digg, Bolagsverket, Arbetsförmedlingen, Lantmäteriet och E-hälsomyndigheten.

Punkt för punkt: API är ett aktivt anrop där ett system får svar. Filöverföring är en separat överföringshändelse där en färdig fil skickas.

Punkt för punkt: API kan hålla system i synk i realtid. Filöverföring sker inte som ett anrop.

Punkt för punkt: API kan kräva en API-nyckel för att skydda känslig information. Filöverföringen sker utan anrop och utan svar.

Punkt för punkt: ett öppet API har publik dokumentation, ett stängt används internt eller av utvalda partner. Vid filöverföring finns inga endpoints att dokumentera.

API kan använda HTTP, JSON och XML. Filöverföring skickar en fil mellan system.

Filöverföring innebär att en färdig fil skickas från ett system till ett annat. Det är en separat överföringshändelse, inte ett API-anrop med direkt svar.